Como é que o Dragonfly afeta os sistemas SCADA?

Dragonfly é uma APT (Advanced Persistent Threat) que infetou, através da realização de ataques em profundidade, mais de 2.470 vítimas pertencentes a diferentes setores.

Inicialmente, a Dragonfly afetou as instalações do setor elétrico, mas recentemente descobriu-se como os setores farmacêuticos, de alimentação e bebidas e de águas também são alvo deste malware.

Para levar a cabo os seus objetivos, entre os quais se encontram os de comprometer equipamentos, obter palavras-passe e informações, degradar o desempenho do sistema, aceder por portas traseiras, facilitar a escrita não autorizada sobre equipamentos associados a ambientes de TI e TO ou realizar negações de serviço, utilizava três RAT (Remote Access Toolkit):

• HAVEX (também denominado Backdoor.Oldrea ou Energetic Bear RAT)
• Karagany
• Sysmain

Em qualquer um dos três casos, os objetivos dos RAT eram os de permanecer no alvo (PC infetado), normalmente através de um troiano, e facilitar a comunicação com o C2 (Command&Control) para se atualizar e executar módulos adicionais (payloads).

Dragonfly utilizava três vetores de ataque:

• Ações de e-mail spear-fishing
• Ataques de Watering hole (baseados em clickjacking)
• Infeção através de troianos descarregados de websites de fornecedores ICS

No que diz respeito ao e-mail spear-fishing, o ataque ocorreu através do envio de e-mails a diretores de 7 empresas do setor elétrico, nos quais era anexado um ficheiro do tipo Adobe XML Data Package (XDP). O assunto do e-mail era descrito como: “The account” e/ou “Settlement of delivery problema”. O ficheiro XDP utilizado pela Dragonfly aproveitava a vulnerabilidade CVE-2011-0611 de PDF/SWF, permitindo que a biblioteca PE-DLL de Havex fosse desencriptada, instalada e executada.

Os ataques de Watering hole ocorriam através de clickjacking. Diferentes iFrames ocultos em espaços web confiáveis, redirecionavam as vítimas para outros sites maliciosos. Os espaços web confiáveis eram sites baseados em gestores de conteúdos do tipo WordPress, Drupal ou Joomla. Os espaços maliciosos continham código JAVA e HTML malicioso que permitiam explorar as vulnerabilidades CVE-2012-1723, CVE-2013-2465 de JAVA e as CVE-2012-4792 e CVE-2013-1347 de Internet Explorer. Isto facilitava a instalação de HAVEX nos PC´s dos visitantes destas páginas.

Por último, as páginas web das empresas Mesa Imaging (fornecedor de câmaras utilizadas para visão guiada de veículos em ambientes industriais, eWon e MB Connect (fornecedores de soluções para o acesso remoto e telemunutenção de ambientes industriais) foram infetadas, de modo a que os utilizadores descarregassem software, em princípio não malicioso (drivers principalmente), que continham diferentes tipos de troianos.

Se quiser saber mais, recomendamos que assista ao nosso webinar.