搜索

[4829] 2018-02-12_全球加油站危机！攻击者可以远程接管加油系统

文档创建者：s7ckTeam
浏览次数：36
最后更新：2025-01-16
2018-02-12_全球加油站危机！攻击者可以远程接管加油系统 全 球 加 油 站 危 机 ！ 攻 击 者 可 以 远 程 接 管 加 油 系 统 原 创   E 安 全   E 安 全   2 0 1 8 - 0 2 - 1 2 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 2 月 1 2 日 讯   卡 巴 斯 基 实 验 室 的 研 究 人 员 们 近 日 报 告 称 ， 由 于 所 使 用 的 自 动 化 软 件 中 存 在 数 项 缺 陷 ， 全 球 多 个 加 油 站 极 易 遭 遇 远 程 黑 客 攻 击 侵 扰 。 美 国 及 印 度 的 加 油 站 严 重 受 影 响 美 国 及 印 度 的 加 油 站 严 重 受 影 响 此 项 存 在 缺 陷 的 产 品 为   O r p a k   公 司 的   S i t e O m a t ， 其 被 厂 商 宣 传 为 “ 加 油 站 的 核 心 ” 。 该 软 件 专 门 为 运 行 在 嵌 入 式   L i n u x   设 备 或 标 准   P C   之 上 而 设 计 ， 能 够 提 供 “ 完 整 且 安 全 的 现 场 自 动 化 、 管 理 分 配 、 支 付 终 端 、 前 院 设 备 与 燃 料 箱 控 制 功 能 ， 从 而 全 面 监 督 并 记 录 一 切 交 易 活 动 。 ” 卡 巴 斯 基 公 司 的 研 究 人 员 们 发 现 ， 这 里 所 提 到 的 “ 安 全 ” 说 辞 并 不 准 确 ， 因 为 使 用 该 产 品 的 1 0 0 0 余 个 加 油 站 都 面 临 着 被 互 联 网 远 程 访 问 的 风 险 ， 其 中 半 数 以 上 的 加 油 站 位 于 美 国 及 印 度 。 攻 击 者 可 以 远 程 接 管 加 油 系 统 攻 击 者 可 以 远 程 接 管 加 油 系 统 卡 巴 斯 基 公 司 的 伊 多 · 瑙 尔 解 释 称 ， “ 在 此 次 研 究 之 前 ， 我 们 一 直 天 真 地 认 为 所 有 与 同 互 联 网 彼 此 隔 离 的 加 油 系 统 ， 并 得 到
适 当 的 监 控 。 但 事 实 却 并 非 如 此 。 研 究 人 员 发 现 ， 即 使 是 技 术 水 平 最 为 低 下 的 攻 击 者 也 能 够 利 用 这 款 产 品 立 足 世 界 任 何 位 置 接 管 加 油 系 统 。 ” 根 据 卡 巴 斯 基 方 面 的 说 法 ， 这 些 影 响 到   S i t e O m a t   产 品 的 安 全 缺 陷 可 能 被 恶 意 行 为 者 用 于 实 现 各 种 目 的 ， 包 括 修 改 燃 油 价 修 改 燃 油 价 格 、 关 闭 加 油 系 统 或 者 造 成 燃 油 泄 漏 格 、 关 闭 加 油 系 统 或 者 造 成 燃 油 泄 漏 。 这 些 安 全 漏 洞 还 允 许 黑 客 在 目 标 企 业 的 网 络 内 横 向 移 动 ， 访 问 支 付 系 统 、 窃 取 财 务 数 据 并 获 取 客 户 信 息 （ 例 如 车 牌 号 以 及 司 机 身 份 数 据 ） 。 卡 巴 斯 基 公 司 还 提 到 另 一 种 可 能 的 攻 击 ， 即 攻 击 者 中 断 加 油 站 的 运 作 并 要 求 对 方 支 付 赎 金 。 上 述 攻 击 中 所 利 用 的 安 全 漏 洞 包 括 ： 上 述 攻 击 中 所 利 用 的 安 全 漏 洞 包 括 ： 硬 编 码 凭 证 ( C V E - 2 0 1 7 - 1 4 7 2 8 ) 、 持 久 性 X S S ( C V E - 2 0 1 7 - 1 4 8 5 0 ) 、 S Q L 注 入 ( C V E - 2 0 1 7 - 1 4 8 5 1 ) 、 不 安 全 通 信 ( C V E - 2 0 1 7 - 1 4 8 5 2 ) 、 代 码 注 入 ( C V E - 2 0 1 7 - 1 4 8 5 3 ) 以 及 远 程 代 码 执 行 ( C V E - 2 0 1 7 - 1 4 8 5 4 ) 等 。 瑙 尔 强 调 称 ， 对 这 些 漏 洞 的 利 用 并 不 需 要 什 么 高 深 的 黑 客 技 能 。 专 家 们 通 过 供 应 商 提 供 的 设 备 相 关 技 术 信 息 与 详 尽 用 户 手 册 就 能 非 常 轻 松 地 发 现 这 些 安 全 漏 洞 。 卡 巴 斯 基 公 司 对 该 系 统 进 行 了 分 析 。 这 些 系 统 被 大 量 嵌 入 至 加 油 系 统 当 中 ， 而 且 研 究 人 员 们 发 现 其 与 互 联 网 的 对 接 已 经 拥 有 十 余 年 历 史 。 O r p a k   公 司 于 2 0 1 7 年 9 月 收 到 了 关 于 上 述 安 全 漏 洞 的 报 告 ， 并 于 1 个 月 之 后 回 复 研 究 人 员 ， 表 示 他 们 正 着 手 推 出 一 套 系 统 的 强 化 版 本 ， 但 在 此 之 后 ， 就 不 再 继 续 分 享 补 丁 更 新 状 态 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 1 8 4 9 5 7 8 6 1 . s h t m l
推 荐 阅 读 ： 印 度 间 谍 软 件 公 司 卖 “ 网 络 核 武 器 ” ， 真 傻 还 是 装 傻 ？ A a d h a a r 数 据 泄 露 ： 印 度 2 1 0 个 政 府 网 站 公 开 披 露 公 民 信 息 印 度 要 求 小 米 、 O P P O 等 中 国 手 机 厂 商 提 供 网 络 安 保 标 准 自 动 化 黑 客 工 具 A u t o s p l o i t 公 开 ， 大 批 I o T 设 备 或 将 遭 殃 自 动 化 平 台 P C T E ： 训 练 美 军 什 么 网 络 能 力 ？ 小 心 有 坑 ！ 涉 外 企 业 应 熟 读 《 欧 盟 网 络 与 信 息 系 统 指 令 》 2 0 1 8 年   |   政 府 技 术 采 购 之 五 大 趋 势 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理