S7Flip нацелено на промышленные системы и пытается менять данные ПЛК

На системе Windows в промышленной среде с оборудованием Siemens обнаружили ВПО S7Flip. Оно пытается манипулировать данными ПЛК через S7Comm и Modbus TCP, однако имеющиеся доказательства не подтверждают, что программа успешно изменила или повредила контроллеры.

После запуска S7Flip закрепляется в системе через механизм автозагрузки Windows, используя имя файла aphp.exe. Затем ВПО сканирует локальную сеть, в том числе диапазоны 192.168.*.*, 10.*.*.* и 172.*.*.*, и проверяет открытые порты, связанные с протоколами промышленных систем управления.

В S7Flip есть функциональность для изменения данных ПЛК, включая функцию инвертирования битов findAndModifyInputs. Точное влияние этой функции на работу оборудования и использование кода манипуляции с ПЛК в реальной атаке не подтверждены.

В ходе анализа также выявили сходства S7Flip с отдельным инструментом для уничтожения данных, который сначала распространялся под именем Edge.exe. Он показывает обманчивое окно установки Microsoft Edge, добавляет себя в автозагрузку и уничтожает или перезаписывает файлы, не сохраняя исходное содержимое рабочего стола.

Первая версия программы работала как псевдо-шифровальщик-стиратель и предлагала жертвам отправить платёж на адрес Bitcoin, принадлежащий проекту Bitcoin.org, а не на кошелёк для выкупа, контролируемый злоумышленником. В более позднем образце Edgev5.exe добавили шифрование AES-256-GCM, а целевые каталоги расширили с рабочего стола на загрузки и документы. Ключ расшифровки хранился локально в файле master_key.dat. Это делало инструмент потенциально восстанавливаемым и подрывало его работу как программы-вымогателя.

Сходства между S7Flip и инструментом для уничтожения данных указывают на возможную связь между ними. Имеющихся доказательств недостаточно, чтобы приписать оба инструмента одному разработчику.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.