Động cơ dầu máy bị tấn công do bảo mật bộ điều khiển kém

Nhiều lỗ hổng trong phần mềm hệ thống của các bộ điều khiển bảo mật kém của động cơ dầu máy tàu thủy do công ty Auto-Maskin sản xuất đã bị phát hiện.

Những lỗ hổng trong bộ điều khiển bảo mật kém có thể bị khai thác để thay đổi các tập tin cấu hình và phần mềm hệ thống, cài đặt phần mềm độc hại và thực hiện các hành vi kiểm soát động cơ của tàu.

Các lỗ hổng

Bốn lỗ hổng đã được các nhà nghiên cứu Brian Satira và Brian Olson phát hiện.

CVE – 2018-5399: Phần mềm DCU 210E chứa một máy chủ Dropbear SSH chưa được hệ thống ghi nhận với tên người dùng và mật khẩu được hardcode, rất dễ bị bị tấn công.

CVE – 2018-5400: Các sản phẩm Auto-Maskin sử dụng giao thức tùy chỉnh chưa được hệ thống ghi nhận để thiết lập trao đổi Modbus với các thiết bị khác mà không cần xác thực các thiết bị đó.

CVE-2018-5401: Các thiết bị truyền tải thông tin quá trình điều khiển thông qua trao đổi Modbus không được mã hóa.

CVE-2018-5402: Web server được nhúng sử dụng văn bản thuần túy (plaintext) không được mã hóa để truyền dẫn PIN quản trị viên.

“CVE-2018-5401 và CVE-2018-5400 ảnh hưởng các thiết bị Auto-Maskin Marin Pro và ứng dụng Android Marine Pro Observer có liên quan. Kẻ tấn công có thể khai thác những lỗ hổng này để gửi file tấn công Modbus TCP đến bất kỳ thiết bị Marine Pro nào để thay đổi cài đặt, bao gồm việc lợi dụng bộ điều khiển bảo mật kém để bật tắt động cơ của tàu”, nhà nghiên cứu Satira giải thích.

“Tin tặc cũng có thể tiến hành tấn công “man in the middle” để quan sát hoặc thay đổi file tấn công. Những lỗ hổng này sẽ được phòng ngừa bằng cách sử dụng Secure Modbus.”

Lỗ hổng CVE – 2018-5399 và CVE – 2018-5402 ảnh hưởng đến các thiết bị Marine Pro như các bảng điều khiển từ xa và các thiết bị điều khiển động cơ diesel.

Nâng cao nhận thức về an ninh công nghệ hàng hải

Các nhà nghiên cứu đã tự động thông báo cho Auto-Maskin về các lỗ hổng hơn 18 tháng trước, nhưng không nhận được phản hồi. Khi thông báo cho CERT Na Uy (NorCERT) thì công ty thừa nhận họ đã biết về lỗ hổng bảo mật, nhưng tuyên bố không có ý định tiết lộ công khai hoặc tung bản vá lỗi.

Satira chỉ ra rằng “Chúng tôi đặc biệt để ý rằng Auto-Maskin đang cung cấp các thiết bị như bộ điều khiển bảo mật kém cho các nhà cung cấp thiết bị gốc cho các động cơ dầu máy tàu thủy bao gồm hãng Cummins, Caterpillar, Yanmar và Scania.” “Do đó, các thiết bị dễ bị tấn công như bộ điều khiển bảo mật kém có khả năng đang được sử dụng trong các chuỗi cung ứng tới những người dùng có thể không nhận thức được những rủi ro” – ông nói thêm.

“Một ví dụ là thiết bị mang nhãn hiệu Auto-Maskin đã được đưa vào quá trình lắp đặt động cơ dầu máy Cummins trên Tàu nghiên cứu khoa học Quản trị đại dương và khí quyển quốc gia (NOAA).” Auto-Maskin cũng công khai thông báo rằng thiết bị Marine Pro đang được sử dụng để điều khiển các động cơ của một tàu sân bay mới đưa vào sử dụng thử nghiệm dưới biển do một đơn vị hải quân điều khiển trong năm 2017-2018. Tổ chức phân tích và chia sẻ thông tin an ninh cảng và hàng hải (MPS-ISAO) hiện đang hỗ trợ dự án Gunsway trong việc thông báo cho các tổ chức trong các ngành công nghiệp hàng hải, Duyên hải vệ Hoa Kỳ và NOAA về những vấn đề cung ứng dây chuyền.”

Helpnetsecurity