A central de whitepapers de tecnologia da COMPUTERWORLD
Segurança
Pesquisador mostra código para invadir máquinas em indústrias
Brecha pode ser utilizada para controlar sistemas que gerenciam redes de água, energia e até refinarias de petróleo.
IDG News Service
Um pesquisador da área de segurança divulgou códigos que podem permitir a crakers tomar o controle de computadores usados para gerenciar máquinas industriais. Potencialmente, a novidade abre uma brecha na segurança de empresas de utilities, redes de água e até refinarias de petróleo e gás.
Kevin Finisterre, o pesquisador que criou o software, afirmou que sua intenção é aumentar a preocupação com as vulnerabilidades desse tipo de sistemas, geralmente deixados de lado pelos fornecedores de software.
“Essas empresas não estão sendo responsabilizadas pelos softwares que produzem. Elas afirmam aos seus clientes que não existem problemas, enquanto seus sistemas controlam infra-estruturas críticas”, afirmou Finisterre.
O pesquisador divulgou seu código de ataque como um módulo do Metasploit, uma ferramenta de hacking altamente utilizada. Segundo especialistas em segurança da informação, integrando seu software ao Metasploit, Finisterre tornou seu sistema muito mais fácil de ser utilizado por outras pessoas. “Agora, apenas baixando o Metasploit já é possível iniciar um ataque”, afirma Seth Bromberger, gerente de segurança da informação da PG&E, fornecedora de energia dos Estados Unidos.
Leia mais:
> Ataques contra ambientes virtualizados devem aumentar
> Site do Unibanco é clonado por crackers em domínio .org
A falha explorada pelo código malicioso está no CitectSCADA. A Core Security Technologies já havia divulgado uma falha no software em junho deste ano. A Citect lançou um patch corrigindo o problema e afirmou que só havia risco para empresas que conectam o sistema diretamente na Internet, sem o uso de firewall. Algo improvável de acontecer.
Sistemas como este são, tradicionalmente, difíceis de obter e de serem analisados, dificultando a vida de criminosos em busca de falhas de segurança. Mas, nos últimos anos muitos softwares como o CitectSCADA vem sendo desenvolvidos em cima de Windows ou Linux, tornando-os mais baratos, mas também mais fáceis de serem hackeados.
Outro grande problema é corrigir rapidamente as falhas. Como um downtime em uma rede de água ou de energia pode significar uma catástrofe, os engenheiros podem ficar relutantes em fazer mudanças nos softwares ou manter os computadores off-line.
Essa dificuldade gerou discussões entre profissionais de TI, como Finisterre, que enxergam um descaso com a segurança, e engenheiros preocupados em manter os sistemas rodando.
A Citect disse que ainda não foi informada sobre nenhum cliente que tenha sido hackeado. De qualquer forma, a empresa planeja uma nova versão de seu produto com mais dispositivos de segurança.
Cloud computing é difícil?
O ITBOARD materializa a nova plataforma de conversas do Século XXI. Concentra o diálogo sobre tecnologia e inovação movido a tweets de quem está imerso nesses assuntos. ENTRE NA CONVERSA
