Energiecentrales besmet met malware via USB-sticks

Het eerste incident deed zich voor in een elektriciteitscentrale, waar “zowel gangbare als geavanceerde malware” de kop opstak in een industrieel controlesysteem. De kwaadaardige software - welke precies, onthult ICS-CERT niet - werd ontdekt toen een medewerker de IT-afdeling vroeg om zijn USB-drive, die af en toe haperde, te inspecteren. Hij gebruikte de USB-drive regelmatig om back-ups van configuratie-instellingen te maken.

Kritieke werkstations bleken ook besmet

Uit de analyse van een IT-medewerker met recente antivirussoftware bleek dat de verdachte USB-drive drie soorten malware bevatte. Speurwerk elders in de fabriek bracht aan het licht dat nog twee technische werkstations, die ook in contact met de USB-drive waren geweest, met de geavanceerde malware waren besmet. Deze computers waren “van kritiek belang” voor de werking van de besturingsomgeving en hadden geen back-up. Elf andere pc’s van bedieningspersoneel waren buiten schot gebleven.

ICS-CERT hielp het energiebedrijf bij het veilig verwijderen van de kwaadaardige software. Daarnaast adviseerde het responseteam advies over ‘best practices’ om toekomstige besmettingen te detecteren en liefst helemaal te voorkomen.

Technicus gebruikte besmette USB-stick voor systeemupdate

Het andere incident deed zich begin oktober voor bij een energiebedrijf dat een computervirus had ontdekt in een controlesysteem. Daarbij waren zo’n tien computers betrokken. Een reconstructie leerde dat een externe technicus een meegebrachte USB-stick had gebruikt om software-updates te uploaden tijdens een geplande onderhoudsbeurt. De technicus wist het niet, maar zijn geheugenstick was voorzien van ‘crimeware’, aldus de nieuwsbrief.

De infectie had tot gevolg dat de getroffen systemen moesten worden afgesloten. Het opstarten van de energiecentrale na de onderhoudsbeurt liep ongeveer drie weken vertraging op.

ICS-CERT hamert op goede beveiligingsprocedures

Naar aanleiding van de beide voorvallen hamert ICS-CERT erop dat eigenaren en exploitanten van kritieke infrastructuur standaard beveiligingsprocedures moeten ontwikkelen en implementeren, inclusief het up-to-date houden van antivirussoftware, managen van systeempatches en controle over het gebruik verwisselbare opslagmedia. “Zulke praktijken zijn een oplossing voor veel problemen die kunnen leiden tot langdurige downtime van systemen”, aldus de federale beveiligingsinstantie.