Ang mga mananaliksik ay nakakahanap ng daan-daang mga sistema ng kawalan ng kontrol sa gusali

Ang mga intruder na ginamit upang gumapang sa pamamagitan ng mga duct ng bentilasyon.

Daan-daang mga organisasyon sa buong Australya ang gumagamit ng mga pang-industriyang mga sistema ng kontrol ng pang-industriya (ICS) upang kontrolin ang mga ilaw, pag-init at paglamig, mga kontrol ng access at maging ang mga elevator.

[Karagdagang pagbabasa: Paano tanggalin ang malware mula sa iyong Windows PC]

"Ang mga kumpanya ay walang ideya ito ay kahit na naa-access sa Internet, "sinabi Billy Rios, teknikal at pagkonsulta direktor para sa Cylance, isang kumpanya ng seguridad sa Reston, Virginia.

Rios at isa pang Cylance teknikal na direktor, Terry S. McCorkle Jr, inihayag mas maaga sa linggong ito na ang isa sa Ang mga tanggapan ng Google sa Sydney ay gumagamit ng platform NiagaraAX ng Tridium na may kahinaan sa seguridad na maaaring pinapayagan ang mga ito na paikutin ang heating.

Higit sa 230,000 mga pagkakataon ng platform NiagaraAX, na ginawa ng Honeywell subsidiary Tridium, na nakabase sa Richmond, V

Ang balangkas na nakabatay sa Java ay ginagamit bilang pundasyon para sa mga aplikasyon na kumokontrol sa mga awtomatikong seguridad at sistema ng kapangyarihan, pag-iilaw at telekomunikasyon.

Cylance na natagpuan ang mahina na sistema ng Google gamit ang Shodan, isang search engine na dinisenyo upang makahanap ng anumang device na nakakonekta sa Internet, mula sa mga refrigerator sa CCTV camera sa mga iPhone at wind turbine.

Ang paghahanap sa Shodan ay nagpapakita na ang Australia ay ang pinakamataas na bilang ng mga aktibong Internet na nakaharap sa mga sistema ng NiagaraAX, sa likod lamang ng Estados Unidos at Canada, na may 658 mga sistema ng Huwebes ng umaga. Higit sa 100 ay matatagpuan sa Sydney.

Sa kanilang pagsasaliksik, sinabi ni McCorkle na karaniwang tatlong-kapat ng mga sistema ng NiagaraAX ang tumatakbo na hindi napapanahong software. Ang mga mas bagong bersyon ay madalas pa rin may mga kahinaan. Ang Cylance ay may natagpuan mga problema sa NiagaraAX na sa pinakamadaling ay magpapahintulot sa kanila na pawalang-bisa ang mga kontrol ng software sa mga sistema ng hardware.

Halimbawa, kahit na ang isang sistema ng pag-init ay programmed upang limitahan ang temperatura ng isang kuwarto, sinabi ni Rios na isa sa mga kahinaan na natagpuan nila sa NiagaraAX

Sa kaso ng Google, "Nagbigay ang Tridium ng isang patch sa seguridad na maiiwasan ang panghihimasok-ngunit ang patch ay hindi pa nailapat sa sistema ng NiagaraAX na ginagamit sa site," sinulat ni Jenny Graves, Tridium's vice presidente para sa mga komunikasyon sa marketing, sa isang email.

Ang NiagaraAX platform ay karaniwang naka-install at pinananatili ng iba pang mga kumpanya na tinatawag na integrators system.

"Mukhang tulad ng integrators ay hindi patching mga aparatong ito," sinabi Rios. "Ang problema ay ang patch ay hindi nakukuha sa aparato sa Internet, at iyon ang responsibilidad ng integrator."

Sinabi ni Graves na patuloy ang Tridium "upang gumana sa aming mga system integrators at mga customer upang matugunan ang problema sa pamamagitan ng mga seminar, forum at on-line na pagsasanay tungkol sa mga pinakamahuhusay na kasanayan sa seguridad. "

Gamit ang sistema ng Google, lumitaw din ang integrator, isang kumpanya na tinatawag na Controlworks, muling ginagamit ang mga kredensyal sa pag-login at password para sa panel na nakabatay sa Web. "Pinagtutuunan nito ang mahihirap na mga kasanayan sa seguridad na ginagamit ng mga integrator sa buong mundo," sabi ni Rios.

Controlworks, na dalubhasa sa pagtatayo ng automation at mga sistema ng pamamahala ng enerhiya, nag-a-update ng mga system ng mga customer na may mga patches sa panahon ng pagpapanatili, sinabi Sharyn Gregory, punong pampinansyal na opisyal ng kumpanya. Ang ilang mga organisasyon, gayunpaman, ang namamahala sa kanilang sariling mga sistema.

Hinihikayat ng kumpanya ang mga customer nito na gumamit ng mga malakas na password, sinabi ni Gregory. Sa Google, "tiyak na sinisiyasat namin kung ano ang maaaring nangyari, at pinapatibay din namin ang aming kasalukuyang mga patakaran," ang sabi niya.

Ang NiagaraAX system ng Google ay konektado sa pamamagitan ng isang digital na linya ng subscriber na hindi pa alam ng kumpanya, Sinabi ni Rios. Maraming ICSes na naka-install sa pamamagitan ng mga integrator ng sistema ay hindi direktang nakasama sa mga network ng kumpanya, na maaaring magpapahintulot sa kanila na makatakas sa mga regular na pag-scan ng seguridad.

Ang mga aparatong hardware na tumatakbo sa NiagaraAX ay maaari ring magkaroon ng dalawang port ng network-isa na konektado sa linya ng DSL na pinangangasiwaan ng mga system integrator, at ang iba pang port na konektado sa internal network ng kumpanya, sinabi ni McCorkle.

Ang pulong ng dalawang koneksyon ay ginto para sa isang hacker.

"Iyon ay isa sa mga klasikong paraan na nakakonekta ang mga device sa network ng korporasyon," sabi ni Rios. Nakikita ng mga pag-atake ang ICS sa Internet, ikompromiso ito at pagkatapos ay gamitin ito bilang "lily pad upang makakuha ng network ng korporasyon," sinabi niya.