En 2009, el virus informático Stuxnet paralizó cientos de centrifugadoras dentro de la planta de enriquecimiento de uranio de Natanz en Irán al atacar el software que se ejecutaba en las computadoras industriales y de igual forma en los controladores lógicos programables (PLC). Los controladores lógicos fueron fabricados por el gigante de la automatización Siemens y todos las referencias pertenecian a la familia SIMATIC S7. Ahora, casí una década después, Siemens reveló hoy que personas malintencionadas podrían aprovecharse de una vulnerabilidad encontrada en los PLC serie S7-1500 y ahí instalar silenciosamente firmware malicioso para posteriormente tomar el control total de ellos.
La vulnerabilidad fue descubierta por investigadores de la empresa de seguridad de dispositivos integrados Red Balloon Security después de pasar más de un año desarrollando una metodología para evaluar el firmware del S7-1500, que Siemens ha cifrado desde el año 2013 para mayor protección en sus sistemas de control. La vulnerabilidad se deriva de un error básico en la forma en que se implementa la criptografía, pero Siemens no puede solucionarlo mediante un parche de software porque el esquema se graba físicamente en un chip ATECC de cripto autenticación dedicado. Como resultado, Siemens dice que no tiene una solución planificada para ninguno de los 122 modelos de PLC S7-1500 que la compañía enumera como vulnerables.
Siemens manifiesta que los clientes deben mitigar la amenaza evaluando “el riesgo de acceso físico al dispositivo ” e implementando “medidas para asegurarse de que solo el personal de confianza tenga acceso a el hardware físico.” Sin embargo, los investigadores señalan que la vulnerabilidad podría estar potencialmente encadenada con otras vulnerabilidades de acceso remoto en la misma red que los PLC S7-1500 vulnerables para entregar el firmware malicioso sin necesidad de que haya contacto físico con los controladores.
“El firmware encriptado significa que, sin mucho esfuerzo, no tiene ninguna información dentro de un dispositivo, por lo que queríamos ver qué se escondía en la línea de productos S7-1500”, dice el científico investigador de Red Balloon Security, Yuanzhe Wu. “Los dispositivos usan un coprocesador de criptografía dedicado para verificar el firmware cifrado que está cargado en el dispositivo, descifrar el firmware y permitir que el dispositivo arranque. Sin embargo, encontramos vulnerabilidades de las que un atacante podría abusar para hacer que el coprocesador criptográfico actúe como un oráculo para descifrar el firmware y luego ayudar a manipularlo para realizar modificaciones maliciosas”.
Dado que el firmware es la base de las funciones de un dispositivo, la capacidad de modificar el firmware de forma silenciosa socavaría todas las demás protecciones de seguridad y le daría a un atacante el control total del dispositivo sin que su propietario se dé cuenta de que algo ha cambiado.
¿Cuáles controladores S7-1500 presentan vulnerabilidades de ciberseguridad?
Los controladores lógicos programables S7-1500 que presentan vulnerabilidades de ciberseguridad son los que se listan a continuación:
- SIMATIC S7-1500 CPU 1510SP F-1 PN (6ES7510-1SJ00-0AB0)
- SIMATIC S7-1500 CPU 1510SP F-1 PN (6ES7510-1SJ01-0AB0)
- SIMATIC S7-1500 CPU 1510SP-1 PN (6ES7510-1DJ00-0AB0)
- SIMATIC S7-1500 CPU 1510SP-1 PN (6ES7510-1DJ01-0AB0)
- SIMATIC S7-1500 CPU 1511-1 PN (6ES7511-1AK00-0AB0)
- SIMATIC S7-1500 CPU 1511-1 PN (6ES7511-1AK01-0AB0)
- SIMATIC S7-1500 CPU 1511-1 PN (6ES7511-1AK02-0AB0)
- SIMATIC S7-1500 CPU 1511C-1 PN (6ES7511-1CK00-0AB0)
- SIMATIC S7-1500 CPU 1511C-1 PN (6ES7511-1CK01-0AB0)
- SIMATIC S7-1500 CPU 1511F-1 PN (6ES7511-1FK00-0AB0)
- SIMATIC S7-1500 CPU 1511F-1 PN (6ES7511-1FK01-0AB0)
- SIMATIC S7-1500 CPU 1511F-1 PN (6ES7511-1FK02-0AB0)
- SIMATIC S7-1500 CPU 1511T-1 PN (6ES7511-1TK01-0AB0)
- SIMATIC S7-1500 CPU 1511TF-1 PN (6ES7511-1UK01-0AB0)
- SIMATIC S7-1500 CPU 1512C-1 PN (6ES7512-1CK00-0AB0)
- SIMATIC S7-1500 CPU 1512C-1 PN (6ES7512-1CK01-0AB0)
- SIMATIC S7-1500 CPU 1512SP F-1PN (6ES7512-1SK00-0AB0)
- SIMATIC S7-1500 CPU 1512SP F-1 PN (6ES7512-1SK01-0AB0)
- SIMATIC S7-1500 CPU 1512SP-1 PN (6ES7512-1DK00-0AB0)
- SIMATIC S7-1500 CPU 1512SP-1 PN (6ES7512-1DK01-0AB0)
- SIMATIC S7-1500 CPU 1513-1 PN (6ES7513-1AL00-0AB0)
- SIMATIC S7-1500 CPU 1513-1 PN (6ES7513-1AL01-0AB0)
- SIMATIC S7-1500 CPU 1513-1 PN (6ES7513-1AL02-0AB0)
- SIMATIC S7-1500 CPU 1513F-1 PN (6ES7513-1FL00-0AB0)
- SIMATIC S7-1500 CPU 1513F-1 PN (6ES7513-1FL01-0AB0)
- SIMATIC S7-1500 CPU 1513F-1 PN (6ES7513-1FL02-0AB0)
- SIMATIC S7-1500 CPU 1513R-1 PN (6ES7513-1RL00-0AB0)
- SIMATIC S7-1500 CPU 1515-2 PN (6ES7515-2AM00-0AB0)
- SIMATIC S7-1500 CPU 1515-2 PN (6ES7515-2AM01-0AB0)
- SIMATIC S7-1500 CPU 1515-2 PN (6ES7515-2AM02-0AB0)
- SIMATIC S7-1500 CPU 1515F-2 PN (6ES7515-2FM00-0AB0)
- SIMATIC S7-1500 CPU 1515F-2 PN (6ES7515-2FM01-0AB0)
- SIMATIC S7-1500 CPU 1515F-2 PN (6ES7515-2FM02-0AB0)
- SIMATIC S7-1500 CPU 1515R-2 PN (6ES7515-2RM00-0AB0)
- SIMATIC S7-1500 CPU 1515T-2 PN (6ES7515-2TM01-0AB0)
- SIMATIC S7-1500 CPU 1515TF-2 PN (6ES7515-2UM01-0AB0)
- SIMATIC S7-1500 CPU 1516-3 PN/DP (6ES7516-3AN00-0AB0)
- SIMATIC S7-1500 CPU 1516-3 PN/DP (6ES7516-3AN01-0AB0)
- SIMATIC S7-1500 CPU 1516-3 PN/DP (6ES7516-3AN02-0AB0)
- SIMATIC S7-1500 CPU 1516F-3 PN/DP (6ES7516-3FN00-0AB0)
- SIMATIC S7-1500 CPU 1516F-3 PN/DP (6ES7516-3FN01-0AB0)
- SIMATIC S7-1500 CPU 1516F-3 PN/DP (6ES7516-3FN02-0AB0)
- SIMATIC S7-1500 CPU 1516F-3 PN/DP (6ES7516-3TN00-0AB0)
- SIMATIC S7-1500 CPU 1516F-3 PN/DP (6ES7516-3UN00-0AB0)
- SIMATIC S7-1500 CPU 1517-3 PN/DP (6ES7517-3AP00-0AB0)
- SIMATIC S7-1500 CPU 1517-3 PN/DP (6ES7517-3FP00-0AB0)
- SIMATIC S7-1500 CPU 1517H-3 PN (6ES7517-3HP00-0AB0)
- SIMATIC S7-1500 CPU 1517T-3 PN/DP (6ES7517-3TP00-0AB0)
- SIMATIC S7-1500 CPU 1517TF-3 PN/DP (6ES7517-3UP00-0AB0)
- SIMATIC S7-1500 CPU 1518-4 PN/DP (6ES7518-4AP00-0AB0)
- SIMATIC S7-1500 CPU 1518-4 PN/DP MFP (6ES7518-4AX00-1AB0)
- SIMATIC S7-1500 CPU 1518-4F PN/DP (6ES7518-4FP00-0AB0)
- SIMATIC S7-1500 CPU 1518F-4 PN/DP MFP (6ES7518-4FX00-1AB0)
- SIMATIC S7-1500 CPU 1518HF-4 PN (6ES7518-4JP00-0AB0)
- SIMATIC S7-1500 CPU 1518T-4 PN/DP (6ES7518-4TP00-0AB0)
- SIMATIC S7-1500 CPU 1518TF-4 PN/DP (6ES7518-4UP00-0AB0)
- SIMATIC S7-1500 CPU S7-1518-4 PN/DP ODK (6ES7518-4AP00-3AB0)
- SIMATIC S7-1500 CPU S7-1518F-4 PN/DP ODK (6ES7518-4FP00-3AB0)
- SIMATIC S7-1500 ET 200pro: CPU 1513PRO F-2 PN (6ES7513-2GL00-0AB0)
- SIMATIC S7-1500 ET 200pro: CPU 1513PRO-2 PN (6ES7513-2PL00-0AB0)
- SIMATIC S7-1500 ET 200pro: CPU 1516PRO F-2 PN (6ES7516-2GN00-0AB0)
- SIMATIC S7-1500 ET 200pro: CPU 1516PRO-2 PN (6ES7516-2PN00-0AB0)
- SIPLUS S7-1500 CPU 1511-1 PN (6AG1511-1AK00-2AB0)
- SIPLUS S7-1500 CPU 1511-1 PN (6AG1511-1AK01-2AB0)
- SIPLUS S7-1500 CPU 1511-1 PN (6AG1511-1AK01-7AB0)
- SIPLUS S7-1500 CPU 1511-1 PN (6AG1511-1AK02-2AB0)
- SIPLUS S7-1500 CPU 1511-1 PN (6AG1511-1AK02-7AB0)
- SIPLUS S7-1500 CPU 1511-1 PN T1 RAIL (6AG2511-1AK01-1AB0)
- SIPLUS S7-1500 CPU 1511-1 PN T1 RAIL (6AG2511-1AK02-1AB0)
- SIPLUS S7-1500 CPU 1511-1 PN TX RAIL (6AG2511-1AK01-4AB0)
- SIPLUS S7-1500 CPU 1511-1 PN TX RAIL (6AG2511-1AK02-4AB0)
- SIPLUS S7-1500 CPU 1511F-1 PN (6AG1511-1FK00-2AB0)
- SIPLUS S7-1500 CPU 1511F-1 PN (6AG1511-1FK01-2AB0)
- SIPLUS S7-1500 CPU 1511F-1 PN (6AG1511-1FK02-2AB0)
- SIPLUS S7-1500 CPU 1513-1 PN (6AG1513-1AL00-2AB0)
- SIPLUS S7-1500 CPU 1513-1 PN (6AG1513-1AL01-2AB0)
- SIPLUS S7-1500 CPU 1513-1 PN (6AG1513-1AL01-7AB0)
- SIPLUS S7-1500 CPU 1513-1 PN (6AG1513-1AL02-2AB0)
- SIPLUS S7-1500 CPU 1513-1 PN (6AG1513-1AL02-7AB0)
- SIPLUS S7-1500 CPU 1513F-1 PN (6AG1513-1FL00-2AB0)
- SIPLUS S7-1500 CPU 1513F-1 PN (6AG1513-1FL01-2AB0)
- SIPLUS S7-1500 CPU 1513F-1 PN (6AG1513-1FL02-2AB0)
- SIPLUS S7-1500 CPU 1515F-2 PN (6AG1515-2FM01-2AB0)
- SIPLUS S7-1500 CPU 1515F-2 PN (6AG1515-2FM02-2AB0)
- SIPLUS S7-1500 CPU 1515F-2 PN RAIL (6AG2515-2FM02-4AB0)
- SIPLUS S7-1500 CPU 1515F-2 PN T2 RAIL (6AG2515-2FM01-2AB0)
- SIPLUS S7-1500 CPU 1515R-2 PN (6AG1515-2RM00-7AB0)
- SIPLUS S7-1500 CPU 1515R-2 PN TX RAIL (6AG2515-2RM00-4AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP (6AG1516-3AN00-2AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP (6AG1516-3AN00-7AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP (6AG1516-3AN01-2AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP (6AG1516-3AN01-7AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP (6AG1516-3AN02-2AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP (6AG1516-3AN02-7AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP RAIL (6AG2516-3AN02-4AB0)
- SIPLUS S7-1500 CPU 1516-3 PN/DP TX RAIL (6AG2516-3AN01-4AB0)
- SIPLUS S7-1500 CPU 1516F-3 PN/DP (6AG1516-3FN00-2AB0)
- SIPLUS S7-1500 CPU 1516F-3 PN/DP (6AG1516-3FN01-2AB0)
- SIPLUS S7-1500 CPU 1516F-3 PN/DP (6AG1516-3FN02-2AB0)
- SIPLUS S7-1500 CPU 1516F-3 PN/DP RAIL (6AG2516-3FN02-2AB0)
- SIPLUS S7-1500 CPU 1516F-3 PN/DP RAIL (6AG2516-3FN02-4AB0)
- SIPLUS S7-1500 CPU 1517H-3 PN (6AG1517-3HP00-4AB0)
- SIPLUS S7-1500 CPU 1518-4 PN/DP (6AG1518-4AP00-4AB0)
- SIPLUS S7-1500 CPU 1518-4 PN/DP MFP (6AG1518-4AX00-4AC0)
- SIPLUS S7-1500 CPU 1518F-4 PN/DP (6AG1518-4FP00-4AB0)
Si bien Siemens no está lanzando directamente ninguna solución para la vulnerabilidad, la compañía dice que está en proceso de lanzar un nuevo procesador de nueva generación que corrige la vulnerabilidad para varios modelos S7-1500. Siemens dice que está “trabajando en nuevas versiones de hardware para las nuevas generaciones de PLC para abordar esta vulnerabilidad por completo”. Los investigadores de Red Balloon dicen que aún no han podido validar de forma independiente que la vulnerabilidad se haya solucionado en este último hardware S7-1500.
Aún así, los investigadores de Red Balloon Security dicen que sería posible que Siemens lanzara una herramienta de auditoría de firmware para cualquier PLC para verificar si se ha manipulado el dispositivo. Dado que la vulnerabilidad persistirá en los dispositivos afectados, dicha característica les daría a los propietarios de S7-1500 más información sobre sus PLC y la capacidad de monitorearlos en busca de actividad sospechosa.
