Node-RED Dieksploitasi, Malware Linux Mengincar Perangkat OT

Campuran celah lama dan baru pada produk yang tidak berkaitan mengarah pada pemindaian oportunistis, bukan serangan yang secara khusus menyasar satu organisasi. Bagi pengelola infrastruktur, pola seperti ini berarti perangkat yang terhubung ke internet dapat ditemukan tanpa menjadi target khusus.

Risikonya melampaui gangguan pada jaringan. Perangkat OT menghubungkan sistem digital dengan operasi fisik, sehingga kompromi terhadap pengendali atau gateway dapat mengusik layanan dan proses yang bergantung padanya.

Penyerang juga semakin memburu perangkat ICS dan OT yang terbuka ke internet, sementara serangan terhadap pengendali pendingin di Eropa dan sistem air di sedikitnya 12 negara bagian AS menunjukkan konsekuensi nyata dari gangguan pada infrastruktur.

Apa yang diketahui tentang malware Linux?

Nama berkas yang terlihat, bot-linux-amd64, mengindikasikan malware dirancang untuk Linux pada prosesor AMD64. Namun, peneliti tidak memperoleh berkas biner atau skrip yang dipasang bertahap, sehingga fungsi malware setelah berjalan belum diketahui.

Garrity mengatakan aktivitas yang tertangkap bukan sekadar pemindaian. “It didn’t just scan us. It sent the complete exploit, flow and dropper, in a single POST /flows,” tulisnya.

Dalam salah satu percobaan lain, payload mengarah ke server berbeda, 85.215.73[.]250. VulnCheck hanya memiliki telemetri berupa URL untuk server itu. Pemisahan antara mesin pemindai dan server unduhan mengisyaratkan pola scan-and-infect: satu mesin mencari perangkat rentan, lalu perangkat yang disusupi mengambil muatan dari server lain.

Node-RED juga digunakan dalam produk komersial, termasuk Siemens SIMATIC IoT2050. Karena itu, pemeriksaan tidak cukup berhenti pada komputer yang terlihat di kantor. Pengelola perlu memastikan antarmuka Node-RED tidak dapat diakses dari luar jaringan, memasang pembaruan yang tersedia, dan menyiapkan deteksi untuk aktivitas eksploitasi.

Garrity menyarankan pengguna Node-RED, termasuk yang menjalankannya di lingkungan OT, memeriksa keterjangkauan perangkat dari jaringan luar dan menerapkan pembaruan. Kerentanan ini sudah masuk katalog Known Exploited Vulnerabilities milik VulnCheck, tetapi belum tercantum dalam katalog KEV Badan Keamanan Siber dan Infrastruktur Amerika Serikat pada saat laporan diterbitkan.

Dalam tiga hari, satu alamat IP itu tercatat mencoba mengeksploitasi celah Node-RED sebanyak 16 kali.