Circa un terzo delle vulnerabilità rilevate nella seconda metà del 2021 riguardava i sistemi cyber-fisici nell'Internet of Things (IoT), nell'Information Technology (IT) e nell'Internet of Medical Things (IoMT). Questo significa che proteggere uno solo di questi aspetti, o solo la parte OT di una infrastruttura, non fornisce una copertura completa dai cyber attacchi. Quali sono queste minacce che investono l'intero Extended Internet of Things (XIoT)? Tre esempi indicativi arrivano da Chen Fradkin, Data Scientist del team di ricerca di Claroty.

Log4j e ransomware

Partiamo con un classico che tutti ormai ben conosciamo: Log4Shell. Come noto, si tratta di uno zero-day scoperto a dicembre del 2021 che interessa la libreria Log4j di Java. Il software che fa uso di questa libreria è ampiamente presente sia in ambienti IT che in quelli OT, e la modalità di attacco remoto lo rende un obiettivo semplice da colpire per i cyber criminali, che lo stanno ancora ampiamente sfruttando.

Un altro elemento immancabile del panorama cyber è il ransomware. Non in senso generico, ma applicato in maniera verticale all’industria produttiva, in modo da cagionare danni fisici e disagi su larga scala. La chiave è proprio questa: un conto è attaccare infrastrutture IT sganciate dalla produzione materiale, causando danni, anche ingenti, circoscritti ai dati. Altra questione è usare il ransomware per apportare un danno materiale.

Nel 2021 abbiamo visto alcuni esempi notevoli, come gli attacchi alla cooperativa agricola NEW Cooperative, ritenuta una infrastruttura critica perché il suo blocco ha compromesso la catena di approvvigionamento agricolo dello Stato dell’Iowa. Un altro esempio è stato l’attacco contro il produttore statunitense di carni JBS Foods. Uscendo dal seminato del food, anche l’attacco a Colonial Pipeline ha seguito lo stesso schema.

Tardigrade malware

Se i primi due esempi erano noti e piuttosto scontati, non lo è altrettanto il terzo, che riguarda un malware soprannominato Tardigrade, dal nome delle creature capaci di resistere in condizioni estreme. Questo malware si è diffuso in diversi impianti di bioproduzione ed è stato responsabile di almeno due attacchi al settore sanitario, registrati in aprile e ottobre del 2021.

L’arma vincente di Tardigrade è la sua natura “mutaforma”, che gli permette di cambiare proprietà in base al diverso ambiente in cui si trova, rendendo così difficile la prevenzione e la protezione. In particolare, ha le funzionalità di un trojan, distribuisce un keylogger, esfiltra i dati e stabilisce una backdoor per gli attaccanti.

Come difendersi

Davanti alle minacce come quelle dei tre esempi citati è evidente la necessità di proteggere l'XIoT, ossia tutte le risorse cyber-fisiche nella loro completezza, con un approccio unificato. Secondo Claroty significa segmentare la rete, e contemporaneamente proteggere da phishing e spam e delle connessioni di accesso remoto.