İran tehdit aktörleri, İsrail ve Amerika Birleşik Devletleri'nde kritik altyapı tarafından kullanılan Nesnelerin İnterneti (IoT) cihazlarını ve OT/SCADA sistemlerini tehlikeye atmak için Iocontrol adında yeni bir kötü amaçlı yazılım kullanıyor.
Hedeflenen cihazlar arasında yönlendiriciler, programlanabilir mantık denetleyicileri (PLC'ler), insan-makine arayüzleri (HMIS), IP kameraları, güvenlik duvarları ve yakıt yönetim sistemleri bulunur.
Kötü amaçlı yazılımın modüler doğası, D-Link, Hikvision, Baicells, Red Aslan, Orpak, Phoenix Contact, Teltonika ve Unitronics gibi çeşitli üreticilerden geniş bir cihaz yelpazesini tehlikeye atabiliyor.
Claroty'nin Analiz için Iocontrol'ü keşfeden ve örnekleyen Team82 araştırmacıları, kritik altyapıda önemli kesintilere neden olabilecek bir ulus devlet siber silahı olduğunu bildiriyor.
Devam eden jeopolitik çatışma göz önüne alındığında, iocontrol şu anda Orpak ve Gasboy yakıt yönetim sistemleri gibi İsrail ve ABD sistemlerini hedeflemek için kullanılmaktadır.
Aracın, geçmişte endüstriyel sistemlere saldırmaya ilgi gösteren Cyberav3ngers olarak bilinen bir İran hack grubuyla bağlantılı olduğu bildiriliyor. Openai ayrıca, tehdit grubunun PLC'leri kırmak, özel bash ve python istismar komut dosyaları geliştirmek ve kontrat sonrası etkinliğini planlamak için ChatGPT kullandığını bildirdi.
Claroty, bir gazboy yakıt kontrol sisteminden, özellikle cihazın ödeme terminalinden (ORPT) kötü amaçlı yazılım örneklerini çıkardı, ancak araştırmacılar bilgisayar korsanlarının Iocontrol ile nasıl enfekte ettiğini tam olarak bilmiyorlar.
Bu cihazların içinde, iocontrol pompaları, ödeme terminallerini ve diğer periferik sistemleri kontrol edebilir, bu da potansiyel olarak bozulmaya veya veri hırsızlığına neden olabilir.
Tehdit aktörleri, İsrail ve ABD'de Claroty'nin bulgularıyla uyumlu olan Telegram'da 200 benzin istasyonundan ödün verdiğini iddia etti.
Bu saldırılar, 2023'ün sonlarında, su arıtma tesislerindeki Unitronics Vision PLC/HMI cihazlarının aşılmasıyla aynı zamanda gerçekleşti, ancak araştırmacılar 2014 ortasında yeni kampanyaların ortaya çıktığını bildirdi.
10 Aralık 2024 itibariyle, UPX dolu kötü amaçlı yazılım ikili, 66 Virustotal Antivirüs motorunun hiçbiri tarafından tespit edilmemektedir.
'/Usr/bin/' dizininde 'iocontrol' adı altında saklanan kötü amaçlı yazılım. Farklı satıcılara ve cihaz türlerine uyum sağlamak için modüler bir konfigürasyon kullanır ve geniş bir sistem mimarisi spektrumunu hedefler.
Sistem önyükleme üzerine kötü amaçlı yazılım işlemini ('iocontrol') yürütmek için bir kalıcılık komut dosyası ('S93InitSystemd.sh') kullanır, böylece cihazı yeniden başlatmaz.
IoT cihazları için standart bir kanal ve protokol olan Komut ve Kontrol (C2) sunucusu ile iletişim kurmak için 8883 bağlantı noktası üzerinden MQTT protokolünü kullanır. Benzersiz aygıt kimlikleri daha iyi kontrol için MQTT kimlik bilgilerine gömülür.
HTTPS üzerindeki DNS (DOH), ağ trafik izleme araçlarından kaçarken C2 alanlarını çözmek için kullanılır ve kötü amaçlı yazılım yapılandırması AES-256-CBC kullanılarak şifrelenir.
Iocontrol destekleri aşağıdaki komutlar şunlardır:
Yukarıdaki komutlar, 'LIBC' kitaplığından dinamik olarak alınan sistem çağrıları kullanılarak yürütülür ve çıktılar raporlama için geçici dosyalara yazılır.
Iocontrol hedeflerinin kritik altyapı ve grubun sürekli faaliyetindeki rolü göz önüne alındığında, Claroty'nin raporu, savunucuların tehdidi tanımlamaya ve engellemeye yardımcı olması için değerli bir kaynak oluşturur.
Uzlaşmanın (IOC) tam göstergeleri raporun altında listelenmiştir.
Kaynak: Bleeping Computer