Op hackercongres Black Hat hebben onderzoekers eens te meer aangetoond dat SCADA-systemen kinderlijk eenvoudig zijn over te nemen. In een demonstratie hebben hackers Eric Forner en Brian Meixell een oliepomp overgenomen en een gesimuleerde aanval uitgespeeld waarbij ze de pompen konden bedienen en zelfs kapot lieten springen (PDF).

PLC bereikbaar via internet

De hack maakt gebruik van het antieke communicatieprotocol Modbus om commado’s te sturen naar de PLC die de pomp aanstuurt. Het protocol werkt op poort 502 en veel van deze PCL’s zijn bereikbaar via internet. Zoekmachine Shodan vindt SCADA-systemen die zo’n netwerkverbinding naar buiten toe open hebben staan.

Volgens de onderzoekers leert een zoekopdracht via Shodan dat er meer dan 93.000 systemen via Modbus communiceren en te bereiken zijn via internet. Om aanvallen op de verbonden PLC’s te voorkomen, moeten commando’s gefilterd worden of de systemen volledig van publieke netwerken verwijderd worden.

Sneaky opdrachten sturen

Dit advies wordt ook al jaren gegeven door onder meer ICS-CERT, het Amerikaanse overheidsorgaan dat de veiligheid van industriële systemen monitort. Toch blijkt het vaak voor te komen dat kritieke systemen op afstand te bereiken zijn. Zo bleek vorig jaar dat de pompen van gemalen in Zeeland over te nemen waren door hackers.

Met enkele Python-scripts zijn opdrachten naar de aansturende controller te sturen, zonder dat het bedienend personeel in het systeem ziet dat er iets aan de hand is. Een soortgelijke truc paste Stuxnet toe, zodat technici van een Iraanse kerncentrale niet konden zien dat het systeem valse opdrachten verstuurde die de centrifuges in de war schopte.