Secondo il team di intelligence sulle minacce di Mandiant, il software malevolo, ribattezzato “CosmicEnergy”, sembra essere l’opera di un appaltatore russo. Il malware è stato individuato da Mandiant dopo essere stato caricato su VirusTotal, un metodo un po’ insolito, ma sicuramente migliore per scoprire una nuova minaccia software rispetto all’aspettare un massiccio attacco cibernetico che paralizza le infrastrutture critiche.
CosmicEnergy, il malware per le Reti Energetiche
Il team di Mandiant ritiene che CosmicEnergy sia stato creato da un appaltatore come strumento per esercitazioni di simulazione di interruzioni di energia, organizzate da Rostelecom-Solar, un’azienda di cybersecurity russa.
Nel 2019, l’azienda ha ricevuto un sussidio governativo per formare esperti di sicurezza e condurre esercitazioni di interruzione dell’energia elettrica e di risposta alle emergenze.
Il malware CosmicEnergy mira a dispositivi IEC 60870-5-104 (IEC-104), tra cui le unità terminali remote utilizzate nei sistemi di trasmissione elettrica in Europa, Medio Oriente e Asia.
Collegamenti con altri malware e potenziali minacce
CosmicEnergy condivide funzionalità con l’Industroyer del 2016, un tipo particolarmente pericoloso di malware russo in grado di controllare direttamente gli interruttori e i circuit breakers delle sottostazioni elettriche, nonché con il suo successore, l’Industroyer v2, scoperto da cacciatori di minacce ucraini dopo l’invasione russa dello scorso anno.
“I proprietari di attività OT che utilizzano dispositivi conformi all’IEC-104 dovrebbero prendere provvedimenti per prevenire un potenziale dispiegamento di CosmicEnergy”, hanno affermato i ricercatori di Mandiant in una ricerca pubblicata oggi.
La minaccia rappresentata da questo malware non si estende direttamente alle reti di distribuzione elettrica statunitensi e ad altri sistemi di controllo industriale, che utilizzano più comunemente il Protocollo di Rete Distribuita 3 (DNP3), secondo quanto affermato da Keith Lunden, manager di analisi di Mandiant presso Google Cloud.