建议投诉 | 联系我们 | 关注微信 安全虎 - 专注于互联网信息安全的科技新媒体!
你的位置:首页 > 文章情报 » 正文

检测不出的 PLC rootkit 终于现世

来源:2017-04-07 | 人围观 | 评论:暂无评论

这就是核心问题所在。似乎没有哪家SoC厂商考虑过引脚配置反馈问题,对其他嵌入式系统而言这个问题好像也不是很重要。但对主要操作就是与I/O打交道的PLC而言,这个问题就超级重要了,会引发各种问题。

阿巴斯和哈舍米用rootkit实现了该攻击技术,作为可加载内核模块 (LKM)执行。这种方式可绕过现有基于主机的入侵检测和用于嵌入式系统的控制流完整性工具,比如 Autoscopy Jr 和Doppelganger。

两位研究员的文章称:“我们这种攻击的创新性在于,我们不用修改PLC逻辑指令或固件,就可以操纵物理过程。这里面没有利用到任何传统函数钩子技术,也不用将整个恶意代码载入动态内存。”

将rootkit实现为LKM(基本上就是个驱动)的缺陷是:部署上需要root权限。因此,研究人员还开发出一个用现有PLC运行时功能来重配置引脚的版本,该变种可由内存泄露漏洞利用实现,直接加载恶意代码到动态内存。

另一种攻击技术针对的是引脚复用功能(除通用输入输出(GPIO)外引脚还用作其他接口模式)。引脚的功能可在运行时被重分配,而且同样的,也没有任何反馈以告诉操作系统发生了什么。

阿巴斯说:“假设你通过引脚连到电机,并通过CPU里的脉冲宽度调制(PWM)控制器进行管理。我们的攻击所做的,就是复用该引脚,将其功能改成其他什么东西,但CPU不会告诉负责将虚拟地址转换成物理地址的内存管理单元(MMU)说,‘嘿,这个引脚对应的物理地址不可用了哟’。MMU会继续试图向改地址写入,CPU则无视掉了该请求,但不会返回任何错误,PLC就依然认为电机还是处于控制之下的——细思恐极。”

阿巴斯表示,此类I/O攻击不会很快出现,因为目前还有其他更容易方法侵入PLC。不过,随着厂商在下一代PLC中植入更好的安全,最好谨记固件和逻辑操纵并非黑客的唯一攻击选择。

而且,不仅仅是PLC对I/O攻击束手无策,所有用于I/O的嵌入式设备都在I/O攻击风险笼罩之下,比如汽车中用的电控单元(ECU),或电力工业用的智能电子装置(IED)。

论文中,研究人员提出了I/O攻击检测新技术的两个研究方向。他们未来工作的基础就是这个。

 

标签:引脚  攻击  PLC  rootkit
Top