Ataques inalámbricos en OT

En la actualidad las redes inalámbricas están presentes en todo tipo de industrias. Sin duda es uno de los cambios más notables que ha traído la Industria Inteligente debido a que han incrementado la productividad y reducen los costes. Sin embargo, en varios escenarios se ha demostrado que este tipo de redes no generan unas condiciones de seguridad que puedan considerarse óptimas.

Para modificar esto se crearon dos protocolos de trasmisión inalámbrica que se esfuerzan en mejorar los niveles de ciberseguridad: la conectividad Ultra-WideBand (UWB) y la variación de UWB Real Time Location System (RTLS).

Sin embargo, investigadores especializados en seguridad OT de Nozomi Networks (empresa invertida por Telefónica Tech) realizaron una serie de pruebas de seguridad sobre estos protocolos y encontraron algunas vulnerabilidades 0-day donde se puede ganar acceso a información sensible que está intercambiándose en la trasmisión.

Resultados de las pruebas de seguridad

Para centrar un poco la investigación se tomaron unos modelos específicos de equipos y su uso en el sector industrial y hospitalarios, donde se optó por hacer las pruebas en Sewio Indoor y Avalue Renity, dos paquetes de UWB RTLS que entregan localización y funcionalidades de protección. Se utilizan en operaciones de mantenimiento y otros.

Ya con estos elementos se procedió a realizar la investigación sobre las comunicaciones y los análisis de los datos que se ejecutan en una infraestructura tradicional de operación con estos elementos, la cual es compuesta por los localizadores, las anclas de información, la UWB y el servidor de procesamiento RTLS.

Usando esta arquitectura de red, los investigadores iniciaron los procesos de ingeniería inversa y de análisis en diversos escenarios y respuestas, los cuales están completamente documentados en el reporte final del equipo de investigación.

En este informe se puede ver las tácticas, técnicas y procedimientos que se realizaron para simular cómo un actor puede obtener acceso a la información, ejecutando un ataque de tipo hombre en el medio (MitM, Man in the Middle) y un acceso a la red de comunicaciones.

Posibles consecuencias y opciones para mitigar este ataque

Si un atacante aplica estos métodos en la vida real puede fácilmente conocer la posición de personas o activos en las fábricas, los cuales son usados para rescate de personas en trabajos remotos o en casos de emergencias dentro de una planta de operación.

En el entorno hospitalario, es muy usado en casos de emergencias y de poder atender síntomas médicos serios. Por lo tanto, en un ataque pasivo los delincuentes podrían acceder a información de comportamientos y hábitos de personal o conocer la ubicación de activos valiosos.

En un ataque pasivo es posible acceder a información de comportamientos y hábitos de personal o conocer la ubicación de activos valiosos.

Ahora, una de las funcionalidades más comunes de aplicación de RTLS es la creación de geocercas, que son usadas desde el punto de vista de protección al personal y a los activos, usando las entradas o salidas de áreas específicas, lo que puede generar una alerta por proximidad a un equipo peligroso u otras alertas.

En las pruebas de ataques a estas configuraciones, fue posible modificar las áreas monitoreadas o las acciones tomadas en la geocerca, generando paradas de fabricación o permitiendo acceso a zonas peligrosas o la posibilidad de eliminar monitoreos antirrobo.

Conclusión

Todos estos análisis y resultados se mostraron en la pasada edición de BlackHat USA 2022, donde esta investigación fue muy bien calificada y recibida. En las demostraciones se evidenció que todo tipo de industrias pueden ser víctima de este tipo de ataque y que las consecuencias pueden ser no solo de orden operativo, sino de afectación de vidas.

Es importante que la industria valide la posibilidad de remediar o mitigar el posible impacto de este potencial ataque a través de segmentaciones de red y uso de firewall industriales, así como la implementación de detección de intrusos en ambientes de operación que permita evidenciar los comportamientos anómalos o movimientos no esperados en la red y, por último, la posibilidad de implementar trasmisión cifrada de los datos.