Investigador publica código para explotar sistemas críticos de control SCADA


La seguridad en sistemas SCADA (Supervisory Control and Data Acquisition) sigue dando que hablar. No son frecuentes las vulnerabilidades que se encuentran en el software orientado a control industrial, pero cuando aparecen, suelen ser relevantes y de alto impacto.





Un investigador ha publicado recientemente código para explotar sistemas SCADA. Según declaraciones de Bruce Finisterre, autor del disclosure, dar a conocer públicamente los detalles del exploit responde a un llamamiento a los fabricantes de software SCADA, los cuales, según Finisterre "no están siendo responsables con lo que fabrican".

El código publicado explota una vulnerabilidad en CitectSCADA, un producto de control bastante extendido en la industria. El fabricante, Citect, ha emitido una nota al respecto anunciando la próxima publicación de una versión de CitecSCADA que corrige los problemas denunciados.

Los sistemas SCADA dan servicio a entornos donde es preciso el control industrial automatizado, entre las cuales podemos encontrar refinerías, plantas de depuración, estaciones hidráulicas y centrales de generación de energía, entre otras. Tiempo atrás hablamos de la conveniencia de hacer disclosure de vulnerabilidades en este tipo de programas, por el extremo impacto que puede causar la explotación de estos problemas.

Al hilo de lo anteriormente comentado, considero que denunciar problemas de seguridad es algo normal, y que debe hacerse, si bien soy de los que piensa que debe informarse al fabricante primero, darle tiempo para reaccionar, y una vez que éste haya actuado y haya trazado una estrategia para desplegar las actualizaciones correspondientes a su clientela, ya cada cual decide si debe o no debe publicar un código de explotación. Por la naturaleza de los sistemas SCADA y el tipo de operaciones que gobiernan, yo desde luego no considero adecuada la revelación sin tener plenas garantías de que las empresas que pueden verse impactadas no hayan tenido opción de corregir los problemas.

Hablando en general, y no específicamente del caso de CitectSCADA, hay que tener en cuenta que estas infraestructuras no se actualizan en dos minutos, y el riesgo de paralizar una central nuclear, térmica o una refinería, bien por explotación provocada por atacantes, bien por someter a los sistemas a actualizaciones urgentes sin las debidas pruebas, no debe tomarse a la ligera. Los investigadores deberían tener esto en cuenta antes de lanzar al público código de esta índole.

Fuente:
por Sergio Hernando
http://www.sahw.com



Otras noticias de interés:

7 parches de Microsoft Windows para el día 14/02/2006
Microsoft, como de costumbre, ha publicado una nota para adelantar lo que supondrá su actualización mensual de febrero. A grandes rasgos, anuncia que el martes día 14 publicará siete parches de seguridad que ...
eMule mal configurado permitió filtración de datos
Wikileaks en el Ministerio de Defensa español. Detectadas fugas de información: incluyen lista, dirección y coches de los ‘espías militares’. La filtración se produjo por eMule....
Se inicia Nuevamente OpenHack 4
Acaba de dar comienzo la cuarta edición de la competición OpenHack, que durante 17 días pondrá a prueba las habilidades de los hackers mas calificados. Openhack....
IE 9 presume de compatibilidad con estándares
Los responsables de la nueva versión del navegador web de Microsoft han mostrado los resultados de la edición de desarrollo de IE9 del mes de mayo sobre distintos test propuestos por el consorcio internacional W3C y los datos avanzan grandes nivele...
Google advertirá a usuarios al recibir ataques de sus gobiernos
Tras Stuxnet y más recientemente Flame, Google está dispuesta a combatir todos aquellos ciberataques que tengan relación con los gobiernos. Lo hará a través de un mensaje claro de advertencia a sus usuarios cada vez que crea que se está intenta...
Nueva Versión W32/Frethem.Q. Adjunto: TASKBAR.EXE
sta versión del Frethem está como otras, comprimida con UPX y luego con PE- ack. Se propaga en un mensaje con el adjunto TASKBAR.EXE. El gusano permanece en memoria e intenta conectarse a diferentes scripts CGI en dife...
Google y la velocidad, lanza mod_pagespeed
Google lleva un tiempo obsesionado con acelerar Internet. Los esfuerzos más recientes de la compañía en este sentido incluyen Google Instant para acelerar las búsquedas, la herramienta Page Speed para desarrolladores y webmasters y el protocolo S...
Fallo en el software del #iPhone y #iPads
Un fallo en el software del iPhone y iPads puede permitir a los piratas informáticos crear aplicaciones que secretamente instalar programas para robar información, enviar mensajes de texto o destruir la información, de acuerdo con un experto en se...
Diez boletines de seguridad de Microsoft en junio
Como cada segundo martes, Microsoft ha publicado sus ya habituales boletines de seguridad. Este mes se han publicado diez nuevos boletines (MS05-025 al MS05-034). Entre los nuevos boletines, según la propia clasificación de Microsoft, hay tres q...
Manual de OTAN advierte que hackers pueden ser objetivos militares
El Centro de Excelencia en Ciberdefensa de la OTAN en Tallín auspició un libro que advierte sobre la ciberguerra en la que hackers, hacktivistas y atacantes respaldados por estados podrían destruir bases de datos o atacar directamente infraestruct...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • centos
  • chrome
  • cifrado
  • codigo
  • computer
  • control
  • criticos
  • debian
  • exploits
  • explotar
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • investigador
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • publica
  • sabayon
  • scada
  • seguridad
  • sistemas
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra