Categoria: IoT

OT/ICS testing lab

Testare il livello di sicurezza informatica di architetture e sistemi OT (Operational Technology, ossia l’informatica e l’elettronica che hanno a che fare con gli impianti industriali) risulta estremamente più complicato rispetto al testing dei tradizionali sistemi ICT, poiché non esistono molti simulatori OT flessibili e gratuiti.

Senza gli strumenti e gli ambienti di testing più appropriati, già solo nel settore ICT risulta oneroso:
– analizzare le API più critiche e monitorarne minuziosamente chiamate e risposte tramite SIEM
– selezionare in maniera oculata gli eventi di sicurezza informatica, analizzarli, custodire e garantire l’integrità dei log di Microsoft Windows
– analizzare in tempo reale gli eventi di switch Cisco
– gestire scrupolosamente i Syslog di sistemi Linux/Unix
– monitorare gli eventi di firewall, IDS/IPS, access point, proxy, sistemi Radius e quant’altro
– ricreare le configurazioni dei sistemi in produzione

Per il settore OT 🪖, il discorso si complica giacché:
– non è così scontato avere a disposizione un ambiente di test fisico comprensivo di tutti i componenti (presenti invece in produzione) che è necessario testare e monitorare
– hai i pezzi di ricambio completi?
– gli apparati e i sistemi usati nel mondo industriale sono costosi, spesso carenti di connettività tradizionale e complicati da installare localmente
– anche avendo budget, una copia speculare dell’hardware in produzione non è sempre disponibile per i test (chi paga se i nostri penetration test o vulnerability assessment dovessero inavvertitamente causare danni fisici agli impianti o agli operai che li utilizzano?)

💡 Pochi giorni fa è stato lanciato Labshock, un laboratorio virtuale ICS gratuito.
Molti utenti lo hanno installato, e dopo svariati test non hanno riscontrato (almeno per il momento) bug critici.

🟢 Cos’è Labshock?
È un laboratorio virtuale per l’apprendimento di sistemi ICS e OT. Costituito da una piattaforma versatile sia per la configurazione che per il testing avanzato, emula sistemi ICS consentendo di:
– mettere in pratica tecniche di rilevamento e risposta ad attacchi informatici industriali
– configurare PLC
– apprendere meglio le reti e i sistemi ICS
– esplorare sistemi SCADA
– emulare PLC multivendor
– effettuare in sicurezza il pentesting e il monitoraggio di sistemi OT
– creare e testare regole di correlazione per minacce informatiche industriali usando SIEM OT

🌟 Requisiti tecnici:
[RAM] SCADA 150 MB, PLC 80 MB, router 1 MB
[CPU] occorre limitare individualmente le risorse per ogni servizio
[HDD] piccolo come un singolo file di un film o di una VM

Sei interessato a formazione o a simulare scenari di breach attraverso LabShock? Contattami!

Letture e risorse di approfondimento:
– Link1
– Link2
– Link3
– canale Discord del progettista
– Link5

Un simpatico congegno IoT…

…che permette, in maniera estremamente compatta e ad un prezzo interessante, di:
✅️ monitorare il traffico di rete
✅️ esfiltrare dati
✅️ stabilire connessioni VPN
✅️ avviare reverse shell
✅️ sniffare pacchetti
✅️ effettuare spoofing DNS
✅️ accedere alla shell tramite root

Dispone di un interruttore con 4 posizioni: ognuna di esse rappresenta una modalità operativa configurabile attraverso uno specifico script.
È conoscendo anche strumenti come questo che possiamo migliorare la nostra Cybersecurity Posture (nostra e quella dei nostri clienti): come al solito, restiamo vigili e teniamo gli occhi aperti.

Sabotatori professionali di reti wi-fi e LTE

Questo strano apparato è un esempio di jammer per reti Wi-Fi e cellulari, e può essere utilizzato per commettere crimini informatici. In che modo? Fa un eccellente lavoro bloccando praticamente ogni segnale che incontra nel suo raggio d’azione, tranne il 5G, ma ci sono modelli anche per quello. I jammer da decenni sono utilizzati nell’ambito della Guerra elettronica, ma possono altresì essere impiegati in prossimità di uffici ed edifici in cui le comunicazioni radio non sono desiderate (aree ad alta sicurezza, luoghi segreti di ritrovo diplomatici, ecc..) e da un po’ di tempo vengono utilizzati anche per commettere rapine. Qual è il nesso? Gran parte del mondo è diventato dipendente da webcam e telecamere di sicurezza wireless – diciamo eccessivamente, e i ladri lo sanno bene. Con meno di 1000€ questi dispositivi possono essere collocati in un veicolo, portati in prossimità dell’organizzazione o del luogo di residenza dell’obiettivo da depredare, e le telecamere andranno velocemente offline. I ladri faranno i loro sporchi affari e se ne andranno: in questi casi non hanno neanche necessità di conoscere anticipatamente la tecnologia usata dalle vittime, a loro basterà infatti usare un jammer…il che rende il tema Cybersecurity sempre più complesso.

Se non disponi di una rete di backup cablata , forse è il caso di investirci…o puoi sempre continuare a rischiare di perdere prove preziose a crimine avvenuto. Inoltre, personalmente mi accerterei di avere una scheda di memoria installata localmente nelle telecamere per garantire comunque la registrazione in presenza di indisponibilità di risorse Cloud: potresti non vivere mai questo scenario, ma almeno, in seguito potrai visionare la registrazione se mai dovesse disgraziatamente accadere.

Guastafeste wireless

Dstike Deauther Watch (giunto alla versione 3 nel momento in cui sto scrivendo) è semplice da usare ma decisamente versatile. Al suo interno c’è un ESP8266, un chip wi-fi economico ma usato in svariata tecnologia IoT. A cosa serve? A “sganciare” qualsiasi dispositivo collegato a una rete wi-fi che trasmetta su di una frequenza pari a 2,4 GHz. Dstike non è un jammer: un jammer funziona generando un sacco di rumore wi-fi indiscriminato, che può interferire con i servizi di emergenza nonché con altre reti e/o dispositivi nel suo raggio d’azione, viceversa, dispositivi come Dstike operano generando frame di deautenticazione per imporre a un dispositivo “target” la disconnessione da una certa rete wi-fi. In pratica è possibile disconnettere lo smartphone, la videocamera di sorveglianza o il portatile di qualcuno dalla rete wi-fi a cui è agganciato.

Con questo comodo gadget da polso è possibile sferrare anche attacchi beacon creando access point spia con nomi a nostra scelta, piuttosto che un attacco sonda (“probe attack”) utilizzabile per confondere i tracker wi-fi. Consente di monitorare il traffico wireless e, naturalmente, monta anche un orologio (sincronizzabile tramite protocollo NTP) nonché un puntatore laser. Come tutti i chip ESP8266, puoi anche fargli eseguire altre applicazioni se ti interessa riprogrammarlo o personalizzarlo. Vale la pena notare, tuttavia, che il chip ESP8266 funziona solo su reti wireless a 2,4 GHz, quindi Dstike non rappresenta una minaccia per reti a 5Ghz.

L’obiettivo dichiarato dei progettisti di Dstike è portare l’attenzione su di una vulnerabilità nelle implementazioni wi-fi (molti produttori, infatti, non aderiscono pienamente agli standard wireless IEEE 802.11W 2009 né a quello 2021, immuni da questa vulnerabilità), ma al tempo stesso offrire anche uno strumento per testare agevolmente reti a 2,4 GHz. I router più recenti generalmente hanno firmware aggiornati contro questa minaccia, implementando nativamente una funzione chiamata PMF (Protected Management Frames), tuttavia molte aziende e organizzazioni utilizzano ancora dispositivi vecchi o con firmware non aggiornati: uno strumento come Deauther potrebbe essere utilizzato per spostare un obiettivo da una rete legittima (attestata su di uno qualunque dei canali wi-fi (1-14)) su di una rete controllata dall’attacker (fake AP) così da ingannare gli utenti sfruttando un attacco MiTM per catturare le credenziali delle loro connessioni.

Sono reperibili molte informazioni nel wiki del progetto, nonché videoclip on-line che spiegano come configurarlo. E poiché l’orologio è solo un involucro per nascondere ed usare il chip all’occorrenza, questo è probabilmente uno degli strumenti di hacking wi-fi più accessibili. Oltre allo schermo OLED, Dstike Deauther dispone di un’interfaccia web che è possibile utilizzare per connettersi tramite smartphone o PC.

Non c’è nulla di veramente innovativo in Dstike Deauther, tant’é che esegue solamente uno script che teoricamente si può inserire su qualsiasi scheda ESP8266 (che si può acquistare con circa €3 da Amazon o AliExpress), ma indubbiamente la comodità di poter girovagare in prossimità di aziende, di università, di ospedali e stazioni aeroportuali o comunque di qualsivoglia utenza aziendale o domestica (che ovviamente faccia uso di wi-fi!) con un (apparente) orologio da polso in grado di incasinare la WLAN, lascia intravedere tutti i possibili scenari di compromissione.

Caro lettore, il firmware del tuo router e/o del tuo access point è aggiornato? Sei consapevole della (in)sicurezza della tua rete wi-fi? Nessuno ti ha mai parlato degli indubbi vantaggi di sicurezza informatica nell’uso del protocollo IEEE 802.1X? Ma soprattutto, hanno mai messo alla prova la tua rete wi-fi con un Vulnerability assessment strutturale? Libero.it qualche anno fa ha subito un pesante data breach (ed è stata multata poiché non aveva provveduto a notificare tempestivamente l’incidente informatico entro le 72 ore dal rilevamento, come invece prevede la normativa GDPR) proprio a seguito di un’intrusione nella sua rete wi-fi.

IoTGoat, una palestra per il pentester IoT

Il progetto IoTGoat (gestito dalla community OWASP) aggiorna periodicamente un firmware deliberatamente vulnerabile basato su OpenWrt, utile come piattaforma di training per programmatori a digiuno di Secure Coding e professionisti InfoSec, poiché è possibile utilizzarlo come target vulnerabile ad exploit IoT, e quindi target di vulnerability assessment e studi affini. Le vulnerabilità si basano sull’OWASP IoT Top 10, nonché sugli easter egg (backdoor, password hardcoded e segreti industriali volutamente annidati nel firmware) degli ideatori del progetto. Per un elenco delle sfide di vulnerabilità, è possibile consultare l’apposita pagina wiki.

Un elenco di letture e lab utili per questo progetto: