在BLACKHAT 2024 ASIA大會上，以色列理工學(xué)院Eyal Semel等研究人員發(fā)表了題為《Debug7: Leveraging a Firmware Modification Attack for Remote Debugging of Siemens S7 PLCs》(利用固件修改攻擊實施對西門子S7 PLCs的遠(yuǎn)程調(diào)試)的演講，披露了他們對西門子軟件PLCET 200SP和西門子S7-1500固件的突破性成果。
據(jù)介紹，在Black Hat USA 2022上展示的SOfT7研究中，研究人員發(fā)現(xiàn)西門子領(lǐng)先的軟件PLC ET 200SP使用管理兩個虛擬機(jī)的虛擬機(jī)監(jiān)視器：一是與普渡模型上層通信的嵌入式Windows;二是運行可編程控制邏輯并操作現(xiàn)場設(shè)備的加密Adonis Linux(SWCPU)。研究人員提出了一種解密SWCPU的方法，并在Black Hat Europe 2023的研究中發(fā)布了實現(xiàn)該方法的工具。在此后的研究進(jìn)展顯示，遠(yuǎn)程攻擊者若控制了Windows虛擬機(jī)，即可在運行時修改軟件PLC(SWCPU)，并用于遠(yuǎn)程調(diào)試西門子S7-1500固件。這一進(jìn)展揭示了一種新的調(diào)試西門子S7 PLC固件版本的方法，并發(fā)現(xiàn)了一個被遺忘的調(diào)試標(biāo)志，允許攻擊者用任意ELF文件替換加密的SWCPU。利用此漏洞，研究人員通過掛鉤系統(tǒng)調(diào)用和利用西門子專有Web服務(wù)器暴露的現(xiàn)有HTTP會話，修改了固件，實現(xiàn)了與SWCPU的遠(yuǎn)程通信和控制。Eyal Semel等人開發(fā)了一種新型調(diào)試器，可在SWCPU運行時設(shè)置斷點并讀寫內(nèi)存和寄存器內(nèi)容。由于缺乏啟動時的安全機(jī)制，便利這個調(diào)試器的安裝得以持久化。這項研究對西門子S7 PLC產(chǎn)品線的未來發(fā)展研究具有重大影響，因為研究分析的S7-1500固件，幾乎在所有西西門子的控制器產(chǎn)品中使用。此外，任何控制Windows虛擬機(jī)的遠(yuǎn)程攻擊者都可以替換SWCPU，并使用已實現(xiàn)的通信渠道(WEB服務(wù))與惡意C&C服務(wù)器建立連接并控制PLC。
這項研究成果的之所有具有較大的影響，不僅僅是涉及全球工業(yè)自動化企業(yè)西門子的看家產(chǎn)品，更在于其可能對S7系統(tǒng)的控制器的廣泛危害。
其一就是影響范圍廣泛；研究人員開發(fā)的新型調(diào)試器是當(dāng)前唯一已知能夠動態(tài)分析西門子SWCPU固件的方法。這個可以被深入研究分析的SWCPU固件，該固件代碼在西門子所有Simatic S7產(chǎn)品線中都有共享。可以斷言西門子S7 PLC全線產(chǎn)品的安全性面臨威脅。
其二，研究者還展示了如何開發(fā)一個持久性的PLC木馬/病毒，而這個惡意軟件不易被檢測，能夠在設(shè)備重啟后仍然能夠生存。
其三，當(dāng)前對西門子PLC的保護(hù)措施還很弱，而且存在問題的PLC進(jìn)行漏洞修復(fù)幾乎是不可能的；
其四，這種攻擊技術(shù)、路徑和木馬，正是惡意行為者關(guān)注的重點或說正在尋求的能力。
來源：網(wǎng)空閑話plus
在線咨詢
在線咨詢
0371-63319761