كاسبرسكي لاب تكتشف نقاط ضعف مهمة في معدات طاقة شائعة الاستخدام

اكتشف فريق خدمات كاسبرسكي لاب نقاط ضعف مهمة أثناء اجراء تقييم أمني لأحد عملائها في قطاع البنية التحتية الأساسية. حيث أن نقطة ضعف CVE-2016-4785 يمكن أن تسمح لأي مهاجم بالحصول على كمية محدودة من محتوى ذاكرة الجهاز من أجهزة ناقلات الحماية الكهربائية. وقد تم التبليغ عن نقاط الضعف إلى سيمنز، وهو مورد هذه الأجهزة، وتم إصلاحها.
وكان قد تم اكتشاف نقطة ضعف في وحدة الشبكة الخاصة بأجهزة ناقلات الحماية سيمنز سبورتيك 4 (SIPROTEC 4) – وهو جهاز يستخدم على نطاق واسع في قطاع الطاقة لحماية الشبكة ضد الدوائر القصيرة وأحمال الطاقة الخطرة. حيث أن أي هجوم ناجح من خلال نقطة الضعف هذه قد يمكّن المهاجم من قراءة بعض محتوى ذاكرة الجهاز عن بعد من خلال هذه الوحدة، ويمكن استخدام هذه المعلومات للقيام بمزيد من الهجمات.
وقد أكدت سيمنز وجود نقطة الضعف وأصدرت تعميماً يحتوي على تعليمات مفيدة متعلقة بالتخفيف من آثارها والتحديث. كما تحث كاسبرسكي لاب أي خبراء أمنيين يعملون في المؤسسات التي تستخدم هذا النوع من الأجهزة، إلى إيلاء اهتمام شديد للتعميم واتباع توصياته.
ويقول سيرجي جورديتشيك، نائب مدير الخدمات في كاسبرسكي لاب،: "إن العثور على مثل نقاط الضعف هذه ليست وظيفتنا الأساسية، ولكن التجربة تثبت لنا أنه عندما نقوم باتخاذ إجراءات تقييم أمنية، فإنه أمر أكيد أننا سنجد شيئا ما. إن المستخدم النهائي للمنتجات ذات نقاط الضعف لا تكون لها عادةً علاقة بنقطة الضعف نفسها، ويظل عرضة للهجوم حتى لو تم تنظيم أجزاء أخرى من البنية التحتية لتكنولوجيا المعلومات وتم ضبطها بشكل جيد إلى حد ما. ولهذه الأسباب فإنه من مسؤوليتنا أن نبلغ عن كل نقطة ضعف أمنية نجدها خلال عملنا اليومي. هذا جزءٌ رئيسي من مساهمتنا في الأمن المجتمعي. كما نود أن نشكر ICS CERT لتنسيق الكشف عن نقطة الضعف هذه، وسيمنز لسرعة رد فعلها على الأخبار"
كما كشف خبراء كاسبرسكي لاب خلال ال 12 شهراً الماضية عن أكثر من 20 نقطة . في منتجات الأجهزة والبرمجيات المختلفة: من أجهزة المستهلك لأنظمة التحكم الصناعية وأجهزة توجيه المركبات والسكك الحديدية.
إن العثور على نقاط ضعف محتملة في مجال تكنولوجيا المعلومات أو البنية التحتية الصناعية هي الميزة الأساسية لخدمات اختبار الاختراق وتقييم الأمن، التي يتم تقديمها تحت مظلة خدمات استخبارات كاسبرسكي الأمنية. وتشمل هذه الخدمات أيضا مجموعة متنوعة من المنتجات التي تهدف إلى سرعة توفير الخبرات الأمنية للشركات: التدريب الأمني، التحليل الجنائي الرقمي، تقارير بيانات التهديدات وتقارير الاستخبارات. حيث تساعد هذه الخدمات الشركات على دعم كافة الجوانب الرئيسية لاستراتيجيات المرونة الإلكترونية، بما في ذلك منع التهديدات والتحقيق والاستجابة للهجمات والتنبؤ بها.