Peneliti menemukan ratusan sistem kontrol bangunan yang tidak aman

Penyusup digunakan untuk menyusup masuk melalui saluran ventilasi. Sekarang mereka menggunakan perangkat lunak yang mengontrol ventilasi.

Ratusan organisasi di seluruh Australia menggunakan sistem kontrol industri yang sudah ketinggalan zaman (ICS) untuk mengontrol lampu, pemanasan dan pendinginan, kontrol akses dan bahkan lift.

Menggunakan Internet untuk mengelola gedung itu mudah, tetapi mungkin datang dengan harga yang curam, menghadirkan peluang baru bagi peretas.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

“Perusahaan tidak memiliki ide ini bahkan Internet dapat diakses, ”kata Billy Rios, direktur teknis dan konsultasi untuk Cylance, sebuah perusahaan keamanan di Reston, Virginia.

Rios dan direktur teknis Cylance lainnya, Terry S. McCorkle Jr., mengungkapkan awal pekan ini bahwa salah satu dari Kantor Google di Sydney menggunakan platform NiagaraAX milik Tridium dengan kerentanan keamanan yang dapat memungkinkan mereka untuk meningkatkan pemanasan.

Lebih dari 230.000 contoh platform NiagaraAX, dibuat oleh anak perusahaan Honeywell, Tridium, yang berbasis di Richmond, V irginia, berjalan di seluruh dunia.

Kerangka kerja berbasis Java digunakan sebagai dasar untuk aplikasi yang mengendalikan keamanan otomatis dan sistem daya, pencahayaan dan telekomunikasi.

Cylance menemukan sistem Google yang rentan menggunakan Shodan, mesin pencari yang dirancang untuk menemukan perangkat yang terhubung ke Internet, mulai dari lemari es hingga kamera CCTV hingga iPhone dan turbin angin.

Pencarian Shodan menunjukkan Australia memiliki jumlah sistem airAXAX aktif menghadap ke Internet tertinggi ketiga, tepat di belakang Amerika Serikat dan Kanada, dengan 658 sistem pada Kamis pagi. Lebih dari 100 berlokasi di Sydney.

Dalam penelitian mereka, McCorkle mengatakan biasanya tiga perempat dari sistem NiagaraAX menjalankan perangkat lunak yang sudah ketinggalan zaman. Versi-versi yang lebih baru sering masih memiliki kerentanan. Cylance telah menemukan masalah di NiagaraAX yang paling buruk akan memungkinkan mereka mengganti kontrol perangkat lunak pada sistem perangkat keras.

Misalnya, bahkan jika sistem pemanas diprogram untuk membatasi suhu ruangan, Rios mengatakan salah satu kerentanan yang mereka temukan di NiagaraAX akan memungkinkan mereka menggantinya.

Dalam kasus Google, "Tridium telah mengeluarkan patch keamanan yang akan mencegah penyusupan-tetapi tambalan itu tidak diterapkan pada sistem NiagaraAX yang digunakan di situs," tulis Jenny Graves, wakil Tridium presiden untuk komunikasi pemasaran, dalam sebuah email.

Platform NiagaraAX biasanya dipasang dan dipelihara oleh perusahaan lain yang disebut sistem integrator.

"Sepertinya integrator tidak menambal perangkat ini," kata Rios. “Masalahnya adalah patch tidak diterapkan pada perangkat di Internet, dan itu adalah tanggung jawab integrator.”

Graves mengatakan Tridium melanjutkan "untuk bekerja dengan sistem integrator dan pelanggan kami untuk mengatasi masalah melalui seminar, forum dan pelatihan on-line tentang praktik terbaik keamanan. ”

Dengan sistem Google, itu juga muncul integrator, sebuah perusahaan bernama Controlworks, menggunakan kembali login dan kata sandi kredensial untuk panel kontrol berbasis Web. "Ini sangat menyoroti praktik keamanan yang buruk yang digunakan oleh integrator di seluruh dunia," kata Rios.

Controlworks, yang mengkhususkan diri dalam membangun otomatisasi dan sistem manajemen energi, memperbarui sistem pelanggan dengan tambalan selama pemeliharaan, kata Sharyn Gregory, kepala keuangan perusahaan. Beberapa organisasi, bagaimanapun, mengelola sistem mereka sendiri.

Perusahaan mendorong pelanggannya untuk menggunakan kata sandi yang kuat, kata Gregory. Dengan Google, "kami tentu sedang menyelidiki apa yang mungkin telah terjadi, dan kami juga memperkuat kebijakan kami saat ini," katanya.

Sistem NiagaraAX Google terhubung melalui saluran pelanggan digital yang mungkin tidak disadari oleh perusahaan., Kata Rios. Banyak ICSes yang dipasang oleh integrator sistem tidak dimasukkan langsung ke jaringan perusahaan, yang memungkinkan mereka untuk lolos dari pemindaian keamanan reguler.

Perangkat perangkat keras yang menjalankan NiagaraAX juga mungkin memiliki dua port jaringan-satu yang terhubung ke saluran DSL yang dikelola oleh sistem integrator, dan port lain yang terhubung ke jaringan internal perusahaan, kata McCorkle.

Pertemuan kedua koneksi tersebut adalah emas bagi seorang hacker.

"Itu adalah salah satu cara klasik perangkat ini terhubung ke jaringan perusahaan," kata Rios. Penyerang menemukan ICS di Internet, kompromi dan kemudian menggunakannya “sebagai pad lily untuk masuk ke jaringan perusahaan,” katanya.