Исследователи обнаружили новый источник угрозы для заводов и фабрик – смартфоны их рабочих. А вернее, приложения, установленные в них. Мобильные приложения сегодня все чаще используются для управления рабочими процессами.
Два исследователя – Александр Большев из компании IOActive и Иван Юшкевич из Embedi – исследовали 34 приложения, включая программы от Siemens и Schneider Electric. Эксперты нашли всего 147 дыр в этих программах, и только два приложения из 34 не имели дыр.
Некоторые из открытых в этих программах уязвимостей позволяют злоумышленникам влиять на поток данных от заводского оборудования. Инженер, который контролирует рабочий процесс через экран своего смартфона, может видеть, например, что температура находится в рабочем диапазоне, хотя на самом деле детали механизмов уже перегрелись. Другая уязвимость позволяет злоумышленникам впрыскивать собственный код, который перехватывает команды от серверов, которые контролируют целые производственные цеха. Подобное вмешательство на заводе, особенно в химическом и нефтеперерабатывающем, может привести к масштабной катастрофе.
Большев говорит, что комбинация приложений и индустриальных систем управления является «опасной и уязвимой смесью». Хотя исследователь отмечает, что последствия могут существенно отличаться и зависеть от внедренных на производстве систем безопасности. Например, на некоторых заводах инженеры могут быть обязаны проверять информацию по нескольким источникам.
«Найденные нами дыры шокируют и доказывают, что мобильные приложения разрабатывают и используют, не думая о безопасности, – говорит Большев. – Важно помнить, что злоумышленникам не нужно иметь физического доступа к смартфону для использования уязвимостей. Им также не нужно целиться непосредственно в приложения контроля индустриальных систем. Если пользователь загружает вредоносное приложение на любое устройство, такая программа может атаковать уязвимую программу для контроля индустриальной системы. Это означает, что злоумышленники используют мобильные приложения для нападения на другие приложения».
