Компания отмечает, что компьютеры, на которых работает программное обеспечение класса SIMATIC WinCC, обычно не подключены к Интернет, дабы уменьшить риск заражения. (конечно, а если читать NISCC Good Practice Guide on Firewall Deployment for SCADA and Process Control Networks, то вообще ничего не будет :)) Вероятно, именно поэтому вирус спроектирован так, чтобы проникать в систему на инфицированном USB-носителе (нормальные админы из физически отключают). Когда устройство подключается к компьютеру, зловредное ПО копирует себя на другие обнаруженные USB-носители и сканирует компьютер в поисках SIMATIC WinCC. Если софт обнаружен, вирус пытается получить контроль над ним при помощи пароля, используемого производителем по-умолчанию. Такой хакерский метод может сработать, если системные администраторы не произвели должную настройку программного комплекса предприятия. Если вирус не обнаруживает SIMATIC WinCC, то он все равно заражает ПК, который в дальнейшем может выступать как разносчик инфекции. При этом пока непонятно, ведет ли зловредная программа какую-то деструктивную деятельность на компьютерах без SIMATIC WinCC. Специалисты называют несколько сценариев, которыми хакеры могут воспользоваться для получения выгоды от атаки на ПО предприятий. В частности, это может быть блокировка системы до момента, пока руководство объекта не заплатит злоумышленникам. На фабриках интерес также может представлять детальная информация о производственном процессе, которая облегчит изготовление высококачественных подделок. Кроме того, SIMATIC WinCC нередко используется для управления работой электростанций, что дало повод для обсуждений в интернете возможности использования вируса для совершения диверсий.
Эксперты предполагают, что вирус создавался под конкретную цель, поскольку, если бы задачей ставилось поразить как можно больше компьютеров, для атаки было бы разумнее выбрать не SIMATIC WinCC, а какую-нибудь из более популярных систем аналогичного класса. (ну конечно, мы тут не при чем, давите конкурентов,да? :))
"Программу писали явно не ради развлечения и не для того, чтобы кому-то что-то доказать, слишком уж тщательно она сделана. Одна только неизвестная прежде уязвимость Windows, которую использует вирус, на черном рынке стоит несколько десятков тысяч долларов. Очевидно, люди рассчитывали заработать на этом вирусе много больше", - говорит вирусный аналитик "Лаборатории Касперского" Александр Гостев, - "Собранная нами статистика распространения вируса показывает, что наибольшее число зараженных систем сосредоточено в Индии, Иране и Индонезии. В каждой из этих стран за четыре дня было зафиксировано более пяти тысяч зараженных систем. А, например, в соседствующем с Индией Китае отмечено лишь пять случаев, что довольно странно. (что тут странного- китайцы не совсем идиоты и умеют не втыкать всякую дрянь в работающие системы) Возможно, это обусловлено спецификой распространения вируса через USB-накопители". В России "Лаборатория Касперского" зафиксировала за тот же период лишь около 150 зараженных систем, то есть в нашей стране об эпидемии речи явно не идет.
В ответ на запрос РИА Новости, Сергей Михайлин, руководитель подразделения "Системы автоматизации" департамента "Промышленная автоматизация" Siemens в России и Центральной Азии так прокомментировал ситуацию: «Siemens в настоящее время проводит детальный анализ новой вредоносной программы, в частности проводятся тесты на совместимость современных антивирусных программ с нашим программным обеспечением. До настоящего времени не было зафиксировано ни одного случая аварийной остановки производства по этой причине».
Источник
