Satcom-systemen lucht- en scheepvaart doelwit IoT-malware

Al in 2014 waarschuwde Santamara voor de mogelijke dreiging van malware voor de satellietcommunicatiesystemen die gebruikt worden in de luchtvaart, zoals in-flight wifi. Zijn recente onderzoek, waarvan hij op de Black Hat-conferentie de resultaten presenteerde, toonde aan dat deze dreiging nog steeds aan de orde van de dag is. Volgens de onderzoeker kunnen aanvallers op afstand de controle overnemen van satcom-apparatuur van actieve commerciële vliegtuigen, schepen en zelfs strijdkrachten.

"Vreemde dingen"

Tijdens een vlucht van Madrid naar Kopenhagen, besloot Santamara het wifi-netwerk van het vliegtuig aan een inspectie te onderwerpen. Door het gebruik van Wireshark kreeg de onderzoeker inzicht in het netwerk, waardoor hij naar eigen zeggen “wat vreemde dingen” zag gebeuren. 

Zo kreeg zijn interne IP-adres een publiek, routable IP-adres. Daarnaast voerde “iets”, een externe host, netwerkscans uit op deze routable IP’s. Het zette de onderzoeker aan tot het in kaart brengen van het interne netwerk. Uiteindelijk bleek na het landen de modem data unit (MDU) van het toestel een achterdeur te hebben en probeerde een publiek IP-adres connectie te krijgen met de Telnetserver.

Gafgyt IoT-botnet

Het bleek uiteindelijk te gaan om een gecompromitteerde router uit Argentinië. Nadere analyse bracht aan het licht dat deze router deel uitmaakte van het Gafgyt IoT-botnet en scande op nieuwe potentiële doelwitten, zo stelde de onderzoeker. 

Tegelijkertijd gaf Santamara aan geen bewijs te hebben dat de IoT-malware succesvol toegang heeft verkregen tot de Satcom-terminal van een vliegtuig, of dat deze specifiek op luchtvaart-routers gericht was. Dit doordat de veiligheidssystemen volgens hem dusdanig geïsoleerd of geconfigureerd zijn, dat ze van buitenaf niet te bereiken zijn. Wel is het volgens hem zeer verbluffend dat dit botnet onbedoeld ‘brute force attacks’ op de satcom-modems van een vliegend toestel losliet. 

Smartphone potentieel doelwit

Doordat het botnet niet was ingesteld op het infecteren van VxWorks, liep het vliegtuig in dit geval dus geen direct gevaar. Wel is volgens de onderzoeker duidelijk dat de kwetsbaarheden, zoals backdoors, onveilige protocollen en netwerkconfiguraties, honderden commerciële vliegtuigen treffen. 

Hierdoor heeft de malware dus de mogelijkheid tot het infecteren, onderscheppen en aanpassen van 'non-safety-communicatie' in vliegtuigen, zoals in-flight wifi. Hierdoor kunnen de mobiele apparaten zoals smartphones en laptops van de passagiers en crew dus ook het doelwit van een aanval worden.  

Militair gevaar

Hoewel voor de luchtvaartindustrie deze aanvallen 'alleen' invloed hebben op de informatiebeveiliging, zijn er voor de militaire- en zeevaartsector ook daadwerkelijk veiligheidsgevaren. Dit doordat vijandige krachten eenvoudig de positie van strijdkrachten kunnen bepalen, en militairen hierdoor direct aangevallen kunnen worden. Ook de scheepvaart loopt gevaar, doordat navigatiesystemen kunnen worden beïnvloed. Dit heeft potentiëel grote gevolgen voor het kiezen van veilige vaarroutes en de bijbehorende positiebepaling.