นักวิจัยสร้างมัลแวร์เพื่อทดสอบเจาะระบบ Smart Building

นักวิจัยด้านความมั่นคงปลอดภัยจาก ForeScout ได้สร้างมัลแวร์เพื่อแสดงให้เห็นว่าแฮ็กเกอร์จะสามารถเจาะระบบของ Smart Building ได้อย่างไร

credit : SecurityWeek

Smart Building เริ่มใกล้ตัวมากขึ้นทุกขณะซึ่งภายในระบบประกอบไปด้วยหลายส่วน เช่น ระบบควบคุมความร้อน ระบบไฟ ระบบฟอกอากาศ กล้องวงจรปิด ลิฟต์ และระบบป้องกันการเข้าถึง เป็นต้น อันที่จริงแล้วระบบอัตโนมัติของ Smart Building มีความคล้ายกันกับระบบควบคุมของโรงงานอุตสาหกรรม (Industrial Control System) แต่ที่น่าสนใจคือค่อนข้างเข้าถึงได้ง่ายกว่า เช่นกันหากจำเป็นต้องเข้าถึงในทางกายภาพก็ทำได้ง่ายกว่าในโรงงานอุตสาหกรรม

สำหรับ ForeScout ได้ทำมากกว่าการออกมาหาช่องโหว่คือทีมงานได้ทดลองสร้างมัลแวร์ใช้งานช่องโหว่ที่ค้นพบ 8 รายการ โดย 6 รายการทางผู้ผลิตอุปกรณ์ยังไม่รู้มาก่อน ส่วนอีก 2 รายการได้แพตช์เรียบร้อยแล้วแต่ไม่เคยเผยต่อสาธารณะ ช่องโหว่มีดังนี้

  • พบช่องโหว่ XSS, Path Traversal และบั้กที่ทำให้ลบไฟล์ได้ตามต้องการบนผลิตภัณฑ์ของ Loytec
  • พบช่องโหว่ XSS และช่องโหว่บายพาสการพิสูจน์ตัวตนบนผลิตภัณฑ์ของ EasyIO
  • ช่องโหว่ที่ทางผู้ผลิตรายหนึ่ง (ในรายงาน ForeScout ไม่เปิดเผยชื่อ) ทราบก่อนหน้านี้และแพตช์ไปแล้วคือช่องโหว่ Hardcoded Secret เพื่อเก็บ Credentials ของผู้ใช้งาน รวมถึงช่องโหว่ Buffer Overflow ที่นำไปสู่การลบรันโค้ดจากทางไกลบน PLC (ทั้ง 2 รายการถูกใช้ในมัลแวร์ทดสอบที่สร้างขึ้น)

อย่างไรก็ตามในรายงานของบริษัทเผยถึงช่องทางที่แฮ็กเกอร์จะสามารถเข้าแทรกแซงระบบได้ 4 ช่องทางด้วยกัน (ตามรูปด้านบน)

1.เข้าถึงโดยตรงที่ PLC (Programmable Logic Controller) ที่เชื่อมต่อโดยตรงได้จากอินเทอร์เน็ต

2.เข้าถึงเครื่องคอมพิวเตอร์ในระบบก่อนแล้วค่อยขยายวงไปยัง PLC

3.เข้าถึงอุปกรณ์ IoT ในระบบก่อน เช่น กล้องวงจรปิด หรือ เราเตอร์ แล้วค่อยขยายวงไปยังส่วนอื่นๆ (ศรสีแดงในรูป)

4.เข้าถึงระบบกายภาพให้ได้จากนั้นค่อยยกระดับไปยังส่วนอื่นจนถึง PLC (ศรสีม่วง)

โดยผลลัพธ์ของการทดลองในขั้นสุดท้ายแฮ็กเกอร์สามารถเข้าถึงฐานข้อมูล สร้างผู้ใช้หรือบัตรผ่านการเข้าถึงอาคาร แม้กระทั่งลบไฟล์หรือขัดขวางการทำงานของระบบได้เลยทีเดียว นอกจากนี้เมื่อใช้แพลต์ฟอร์มอย่าง Shodan และ Censys เพื่อค้นหาระบบอัตโนมัติที่เข้าถึงได้จากอินเทอร์เน็ตจะพบอุปกรณ์กว่า 23,000 ตัวซึ่ง 9,000 ตัวมีช่องโหว่ ทั้งหมดนี้นักวิจัยจะเตือนให้เห็นว่าในอนาคตอันใกล้อาจเกิดภัยเช่นนี้ขึ้นมาจริงก็เป็นได้

ที่มา : https://www.securityweek.com/researchers-create-poc-malware-hacking-smart-buildings และ https://www.bleepingcomputer.com/news/security/zero-day-vulnerabilities-leave-smart-buildings-open-to-cyber-attacks/


About nattakon

จบการศึกษา ปริญญาตรีและโท สาขาวิศวกรรมคอมพิวเตอร์ KMITL เคยทำงานด้าน Engineer/Presale ดูแลผลิตภัณฑ์ด้าน Network Security และ Public Cloud ในประเทศ ปัจจุบันเป็นนักเขียน Full-time ที่ TechTalkThai

Check Also

NEXUS เชิญร่วมสัมมนาฟรี “Digitizing Intelligent Omni-Channel for your Retail Business” อาวุธลับความสำเร็จของธุรกิจค้าปลีกในรูปแบบใหม่

บริษัท เน็กซัส ซิสเท็ม รีซอร์สเซส จำกัด ผู้เชี่ยวชาญด้านการให้คำปรึกษา วางระบบซอฟต์แวร์ เพื่อเพิ่มศักยภาพธุรกิจ ร่วมกับ SAP ผู้พัฒนาซอฟต์แวร์ อันดับ 1 และ DELL EMC ผู้ให้บริการฮาร์ดแวร์ ชั้นนำของโลก ขอเรียนเชิญผู้บริหาร ทีมไอที และผู้ที่สนใจเข้าร่วมงานสัมมนา "Digitizing Intelligent Omni-Channel for your Retail Business" เพื่อเรียนรู้แนวทางการประยุกต์ใช้เทคโนโลยีต่างๆ มาเปลี่ยนให้ธุรกิจค้าปลีกของคุณก้าวสู่การเป็น Omni-Channel และ Online-to-Offline (O2O) ได้อย่างเต็มตัว ในวันที่ 30 กรกฎาคม 2019 โดยมีรายละเอียด กำหนดการ และวิธีการลงทะเบียนเข้าร่วมงานดังนี้

กรณีศึกษา: API กับการทำ Open Banking และการนำ API ไปต่อยอดธุรกิจในอุตสาหกรรมอื่นทั่วโลก

คงปฏิเสธไม่ได้ว่าทุกวันนี้ข้อมูลได้เข้ามามีบทบาททั้งในการทำงานและการใช้ชีวิตประจำวันของทุกคนเป็นอย่างมาก และ API นั้นก็ถือเป็นเบื้องหลังที่สำคัญอันหนึ่งในการทำให้การนำข้อมูลมาใช้งานนั้นเกิดขึ้นได้อย่างแพร่หลายและกว้างขวางอย่างทุกวันนี้ ในบทความนี้เราจะมาเล่าถึงกรณีศึกษาในการนำ API มาใช้ในธุรกิจต่างๆ ทั้งกรณีของการทำ Open Banking ที่กำลังเป็นแนวโน้มใหญ่ และการใช้งาน API ในธุรกิจอุตสาหกรรมอื่นๆ เพื่อเป็นแนวทางให้ทุกท่านได้นำไปประยุกต์ใช้เข้ากับธุรกิจของตนเองได้