Siber güvenlik araştırmacıları, kötü bir aktör tarafından cihazların kontrolünü ele geçirmesi veya kodu uzaktan yürütmesi ve elektriksel ızgaralara şiddetli riskler getirmesi için üç güneş inverter satıcısı, Sungrow, Growatt ve SMA’dan 46 yeni güvenlik kusuru açıkladılar.
Güvenlik açıkları toplu olarak kodlanmıştır Güneş: Aşağı Forescout Vedere Labs.
Şirket, “Yeni güvenlik açıkları, cihazlarda veya satıcının bulutunda keyfi komutlar yürütmek, hesapları devralmak, satıcının altyapısında bir dayanak kazanmak veya inverter sahiplerinin cihazlarının kontrolünü ele geçirmek için kullanılabilir.” Dedi.
Belirlenen dikkate değer kusurlardan bazıları aşağıda listelenmiştir –
- Saldırganlar, SMA’nın web sunucusu tarafından yürütülecek .aspx dosyalarını yükleyebilir (Sunnyportal[.]com), uzaktan kod yürütme ile sonuçlanır
- Yoksula doğru olmayan saldırganlar, kullanıcı adı numaralandırmasını maruz kalan “Server.growatt.com/usercenter.do” uç noktası aracılığıyla gerçekleştirebilir
- Yetersiz saldırganlar, “Server-api.growatt.com/newtwoeicapi.do” uç noktası aracılığıyla diğer kullanıcılara ve keyfi cihazlara ait bitkilerin listesini alabilir ve bu da cihaz devralma ile sonuçlanabilir.
- Yasalı olmayan saldırganlar, “Server-api.growatt.com/newplantapi.do” uç noktası aracılığıyla geçerli bir kullanıcı adı kullanarak akıllı bir sayaç seri numarasını alabilir ve bu da hesap devralma ile sonuçlanabilir.
- Yasalaşmamış saldırganlar, EV şarj cihazları, enerji tüketimi bilgileri ve diğer hassas veriler hakkında “evChary.growatt.com/ocpp” uç noktası aracılığıyla bilgi alabilir ve ayrıca EV şarj cihazlarını uzaktan yapılandırabilir ve ürün yazılımı ile ilgili bilgileri elde edebilir, bu da bilgi açıklaması ve fiziksel hasar ile sonuçlanır.
- Sungrow ile ilişkili Android uygulaması, istemci verilerini şifrelemek için güvensiz bir AES anahtarı kullanıyor ve bir saldırganın mobil uygulama ve IsolarCloud arasındaki iletişimi kesebileceği ve şifresini çözebileceği bir senaryoya açılıyor
- Sungrow ile ilişkili Android uygulaması, sertifika hatalarını açıkça görmezden geliyor ve ortadaki düşman (AITM) saldırılarına karşı savunmasız
- Sungrow’s Winc Webui, tüm ürün yazılımı güncellemelerini çözmek için kullanılabilecek sabit kodlu bir şifre içerir
- Uzaktan kod yürütme veya hizmet reddi (DOS) durumuna neden olabilecek MQTT mesajlarını kullanırken güneşte birden fazla güvenlik açığı
Forescout, “Yeni keşfedilen güvenlik açıklarını kullanarak büyük bir güneş, growatt ve SMA inverters filosunun kontrolünü alan bir saldırgan, bu güç ızgaralarına ve diğer büyük olanlara istikrarsızlığa neden olacak kadar gücü kontrol edebilir.” Dedi.
Growatt invertörlerini hedefleyen varsayımsal bir saldırı senaryosunda, bir tehdit oyuncusu açık bir API aracılığıyla gerçek hesap kullanıcı adlarını tahmin edebilir, şifrelerini varsayılan “123456” a sıfırlayarak hesapları ele geçirebilir ve takip eden sömürü gerçekleştirebilir.
Daha da kötüsü, kaçırılan invertör filosu, saldırıyı artırmak ve ızgaraya hasar vermek için bir botnet olarak kontrol edilebilir, bu da ızgara bozulmasına ve potansiyel kesintilere yol açabilir. Tüm satıcılar o zamandan beri sorumlu açıklamanın ardından belirlenen sorunları ele almıştır.
Forescout, “Saldırganlar, enerji üretimi üzerinde etkisi olan tüm cihaz filolarını kontrol edebildikçe, ızgaraya daha az ya da çok enerji göndermek için ayarlarını değiştirebilirler.” Dedi.
Forescout Vedere Labs araştırma başkanı Daniel Dos Santos, risklerin azaltılmasının, güneş ekipmanı temin ederken, düzenli risk değerlendirmeleri yaparken ve bu cihazlara tam ağ görünürlüğü sağlanırken katı güvenlik gereksinimlerinin uygulanmasını gerektirdiğini söyledi.
Açıklama, Japon şirketi INABA DENKI Sangyo tarafından uzak gözetim için sömürülebilen ve üretim duraklarının kaydedilmesini önleyebilecek üretim hattı izleme kameralarında ciddi güvenlik kusurları keşfedildiği için ortaya çıkıyor.
Güvenlik açıkları açılmamıştır, ancak satıcı müşterileri İnternet erişimini kısıtlamaya ve bu tür cihazların yalnızca yetkili personel tarafından erişilebilen güvenli, kısıtlı bir alana kurulmasını sağlamaya çağırdı.
Nozomi Networks, “Bu kusurlar çeşitli saldırıları mümkün kılar, kimlik doğrulanmamış bir saldırganın gözetim için canlı görüntülere uzaktan ve gizlice erişmesine veya kritik anların yakalanmasını önleyen üretim hattı duraklarının kaydını bozmasına izin verir.” Dedi.
Son aylarda, Operasyonel Teknoloji (OT) Güvenlik Şirketi, Ge Vernova N60 Network Relay, Zettler 130.8005 Endüstriyel Ağ Geçidi ve WAGE 750-8216/025-001 Programlanabilir Mantık Kontrolörü (PLC), tam kontrol tarafından silahlandırılabilecek bir saldırgan tarafından silahlandırılabilecek birden fazla güvenlik kusurunu ayrıntılı olarak açıkladı.