En 2014, los investigadores de IOActive revelaron las vulnerabilidades de seguridad que encontraron en las terminales de comunicaciones satelitales más ampliamente desplegadas y presentaron posibles escenarios que los atacantes podrían explotar una vez que los sistemas SATCOM se hayan visto comprometidos en los sectores de aviación, marítimo y militar. En 2018, demostraron que algunos de estos escenarios teóricos, lamentablemente, todavía son posibles.

Ruben Santamarta, principal consultor de seguridad de IOActive, presentó esta última investigación en la conferencia Black Hat de este año en Las Vegas y demostró que es posible que los atacantes remotos tomen el control de los equipos SATCOM aerotransportados en aeronaves comerciales en vuelo, estaciones terrenas en buques y los utilizados por los militares de EE. UU. en zonas de conflicto.

"Cientos de aviones comerciales de aerolíneas como Southwest, Norwegian e Icelandair resultaron afectados por estos problemas. Hoy en día, todavía es posible encontrar buques que están expuestos a Internet, dejándolos vulnerables a ataques maliciosos ", compartió.
El camino hacia

Las muchas vulnerabilidades encontradas incluyen puertas traseras, protocolos inseguros y configuraciones incorrectas de la red.

Los posibles ataques incluyen:



Mientras que para la industria de la aviación, algunos de estos ataques solo conllevan riesgos de seguridad (el atacante puede interceptar, manipular o interrumpir comunicaciones que no sean de seguridad o avanzar hacia otras redes), en los sectores marítimo y militar también existen riesgos de seguridad.

"Para el sector militar, se puede considerar un riesgo de seguridad cuando las fuerzas adversas pueden identificar con mayor facilidad la ubicación de las unidades militares. Por otro lado, las industrias marítimas y / o aeronáuticas pueden identificar los peligros debido a los efectos de los HIRF generados por SATCOM, que pueden provocar disfunciones en los sistemas de navegación críticos o incluso daños a la salud de las personas expuestas a este tipo de RF no ionizante ". Santamarta notó.
Otros descubrimientos interesantes

Durante esta investigación continua, descubrieron el malware IoT, el bot Mirai, para ser exactos, en un buque al azar con equipos expuestos a Internet. El bot infectó la Unidad de Control de Antena (ACU).

Además, mientras observaba el sistema de entretenimiento a bordo de un avión durante un vuelo noruego desde Madrid a Copenhague, Santamarta notó dos comportamientos inesperados: la dirección IP asignada a los dispositivos de los pasajeros era enrutable y algo, un host externo, realizaba escaneos de red en estas direcciones IP enrutables.

"Esto levantó una bandera roja, así que gasté el vuelo mapeando la red interna, recolectando pruebas pasivamente y realizando un análisis inicial del tráfico de red que fue capturado. Una vez que aterrizó el vuelo, una simple exploración de red contra esos rangos reveló que varios servicios comunes como Telnet, WWW y FTP estaban disponibles para ciertas IP ", dijo.

Finalmente, descubrió una puerta trasera en la unidad de datos del módem satelital (MDU) del avión y una IP pública que intentaba conectarse al servicio Telnet.

"El host delincuente parecía ser un enrutador comprometido de Argentina. Un análisis más detallado reveló que este enrutador era parte de la botnet Gafgyt IoT, que busca nuevos objetivos potenciales ", compartió.

"No hay indicios de que esta familia de malware haya tenido éxito en el acceso a la terminal SATCOM en cualquier avión o que esté específicamente dirigido a enrutadores aerotransportados, por lo que deberíamos considerar esta situación como un 'daño colateral'. Sin embargo, el hecho sorprendente es que esta botnet estaba, inadvertidamente, realizando ataques de fuerza bruta contra los módems SATCOM ubicados a bordo de un avión en vuelo ".

Más detalles sobre su investigación están disponibles en este exhaustivo documento técnico .

Fuente : helpnetsecurity.com