破坏工控系统网络，远比你想象的还要简单

IOActive和Embedi研究人员在协同SCADA系统（数据采集与监控系统）使用的34个移动应用中发现了147个网络安全漏洞。

HMI面板视图上的概念验证攻击

据研究人员称，如果移动应用的已知漏洞遭利用，攻击者就能够破坏工业流程、入侵工业网络基础设施以及导致SCADA操作人员无意间对系统造成损害。测试的34款手机应用程序是从谷歌Play商店中随机选择的。

IOActive首席安全顾问Jason Larsen表示，“这个新的漏洞报告，是两年前所做研究的延续，当时测试了20个移动应用程序。那个时候，市面上的SCADA应用还很少。 这份最新的白皮书强调了一个事实：移动应用漏洞越来越多，这些漏洞可对运行工业控制系统的SCADA系统造成严重后果。对开发者来说，关键的一点就是，必须从一开始就要考虑安全——这样可节省时间和金钱，最终保护系统。”

研究最初是在2015年黑帽大会上进行的，在分析20个移动应用程序时发现了50个漏洞。 2017年，在本研究报告所选择的34个应用程序中，令研究人员震惊的是，他们发现了147个漏洞。这意味着，每个应用程序中平均增加了1.6个漏洞。

DefenseCode首席技术官Leon Juranic表示，“利用移动应用程序同SCADA接口以及系统进行交互，大大简化了工程师对这些系统的监控工作，但与此同时，这些应用程序也为恶意攻击者打开了大门。安全研究表明，在移动应用存在各式各样的安全漏洞这一大环境下，即使是对生产至关重要的SCADA移动应用程序也未曾幸免。事实上，我们进行渗透测试或SAST（静态应用程序安全测试）时常遇到的常见漏洞，在这些应用程序中也普遍存在”。

工控系统移动APP的五大安全隐患

IOActive安全顾问Alexander Bolshev和Embedi信息安全审计师Ivan Yushkevich的研究使用了后端模糊和逆向工程，重点是测试软件和硬件。 这样一来，他们成功发现了安全漏洞：从不安全的数据存储和不安全通信，到不安全的密码学和代码篡改。

具体而言，研究显示，前五大安全漏洞包括：

代码篡改（94％的App）

不安全的授权（59％的App）

逆向工程（53％的App）

不安全的数据存储（47％的App）

不安全通讯（38％的App）

Bolshev表示：“发现这些漏洞时我们甚是震惊，这也就是说，当前，移动应用程序在开发和使用时压根没有考虑到安全问题。需要重点指出的是，攻击者利用这些漏洞时无需物理访问智能手机，而且也不需要直接攻击工业控制系统（ICS）控制应用程序。如果智能手机用户在设备上下载任意类型的恶意应用程序，该应用程序就可以攻击用于ICS软件和硬件的、易受攻击的应用程序。结果是，攻击者可使用移动应用程序来攻击其他应用程序。”

SQL注入示例

Waterfall安全解决方案的工业安全副总裁Andrew Ginter表示，“除了IOActive描述的特定漏洞，还有就是供应商为满足客户需求而继续生产的所谓‘安全的’远程访问产品，远程访问本质上是脆弱的。有多少“警卫、大门或枪支”保护普通工业场地？又有多少保护我们的手机？远程访问已经成为勒索软件和其他工业攻击的首选攻击路径。为什么得让任何人在等红灯的时候，便能利用手机控制一个2GW的发电厂或整个汽车工厂的生产线？”

开发人员应该采用安全编码开发程序

Yushkevich说：“开发人员需谨记，这类应用程序基本上是关键ICS系统的门户。重要的一点是，应用程序开发人员采用安全编码来保护他们的应用程序和系统，使其免受危险、避免遭受造成重大损失的攻击。”

IOActive和Embedi通过负责任的漏洞披露，向受影响的供应商通报了调查结果，并正与其中的一些机构进行协调，以确保修复措施的到位。