Команда из Университета Британской Колумбии (UBC, Канада) обнаружила уязвимость, позволяющую нарушать работу очистных сооружений и энергосетей, не проникая во внутренние системы предприятия и не взламывая шифрование.

Атака нацелена на объекты, которые обмениваются данными с облачными системами мониторинга и управления по зашифрованным каналам. Сначала злоумышленнику нужно получить контроль над маршрутизатором, через который проходит трафик между предприятием и облаком.

Затем атакующий анализирует метаданные - сведения о времени отправки и размере сообщений, а не их содержимое. По этим признакам можно предсказать, когда вероятна передача критически важных команд, даже если сами сообщения остаются нечитаемыми. На основе такого анализа атака выборочно блокирует небольшую долю пакетов.

Промышленные системы управления полагаются на компьютеры, которые управляют физическим оборудованием - насосами, клапанами, генераторами. Новый метод, в отличие от атак, требующих доступа к оборудованию внутри предприятия или перегрузки сети, использует закономерности в зашифрованном обмене данными, чтобы предугадывать критические моменты и точечно вмешиваться в них. По словам авторов, это позволяет нарушать работу, не входя в собственные системы объекта, и обходить протестированные ими детекторы атак.

"Что делает эту атаку тревожной, так это то, что злоумышленнику не нужно читать сообщения, - пояснила доктор Ааста Мехта, профессор компьютерных наук UBC и соисследователь проекта. - Даже когда содержимое зашифровано, закономерности в коммуникации могут раскрыть достаточно информации, чтобы выявить и атаковать критически важные сообщения".

Работа "ICS-Sniper: A Targeted Blackhole Attack on Encrypted ICS Traffic" принята к представлению на симпозиуме Network and Distributed System Security Symposium 2027 в Сеуле (Южная Корея). Свою атаку исследователи называют ICS-Sniper - по аналогии со снайпером, который точечно выбирает цели и оставляет минимум следов.

В лабораторных тестах команда продемонстрировала её на облачной версии испытательного стенда водоочистки в Сингапурском университете технологий и дизайна. Использовались две модели стенда: с программными контроллерами и со стандартным промышленным оборудованием; обе воспроизводили физические процессы. В одном из тестов атака задержала начало перекачки чистой воды примерно на 15 минут. В другом смоделированный клапан оставался открытым дольше положенного - сбой, который на реальном предприятии мог бы привести к потере очищенной воды.

"Злоумышленнику не обязательно взламывать шифрование, чтобы вызвать сбой, - отметил доктор Картик Паттабираман, профессор UBC и соисследователь проекта. - Просто наблюдая за характером трафика, он может определить, когда вероятна отправка критических сообщений, и выборочно их блокировать".

Водоочистку выбрали потому, что общедоступные схемы позволяли воспроизвести системы управления объекта. Метод анализа трафика также проверили на нескольких промышленных протоколах связи, включая набор данных энергосети, однако нарушения работы были продемонстрированы именно на моделях водоочистки.

Команда уже работает над защитой. Один из подходов - сделать сетевые коммуникации менее предсказуемыми, например за счёт изменения размера сообщений или их времени отправки, чтобы атакующему было сложнее отличить критически важные команды от обычного обмена. Такие изменения должны сохранять требования промышленного оборудования к задержкам. Другой подход - повысить устойчивость управления к сетевым сбоям, в том числе за счёт альтернативных маршрутов для критически важных сообщений. Исследователи также опубликовали код, инструкции по воспроизведению стендов и данные трафика, чтобы другие специалисты могли проверить результаты и разрабатывать средства защиты.

Источник: Tech Xplore