Fantasmas en la Máquina: El Olvidado Fallo de Rockwell Alimenta una Nueva Ola de Sabotaje Industrial

Era un problema que la industria creía haber enterrado. Ahora, como un espectro del pasado, una antigua vulnerabilidad en los sistemas de control industrial (ICS) de Rockwell Automation ha resurgido - esta vez, no como un peligro teórico, sino como un arma en manos de atacantes reales. Mientras las agencias federales se apresuran a parchear sus sistemas, la pregunta persiste: ¿Cuántas máquinas más están esperando ser secuestradas?

Datos Clave

• CVE-2021-22681 es una vulnerabilidad crítica en el software Studio 5000 Logix Designer de Rockwell y en varios dispositivos PLC.
• La falla permite a atacantes remotos y no autenticados imitar estaciones de trabajo de ingeniería y tomar control de los controladores.
• CISA ha añadido la vulnerabilidad a su catálogo de Vulnerabilidades Conocidas Explotadas, exigiendo mitigación urgente por parte de agencias federales.
• Casi 6,000 dispositivos Rockwell están expuestos en internet, pero el número exacto en riesgo sigue siendo desconocido.
• Rockwell y CISA confirmaron explotación activa, pero no han revelado detalles sobre ataques específicos.

Divulgada públicamente a principios de 2021 - pero reportada por primera vez a Rockwell dos años antes - la CVE-2021-22681 gira en torno a una clave criptográfica que no fue protegida adecuadamente. Este descuido permite a los hackers eludir los controles de seguridad haciéndose pasar por estaciones de trabajo de ingeniería confiables. Las implicaciones son profundas: los atacantes pueden conectarse remotamente a los controladores lógicos programables (PLC) que dirigen desde robots de fábrica hasta interruptores de la red eléctrica, alterando operaciones en silencio o incluso provocando daños físicos.

La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) dio la voz de alarma esta semana, ordenando que todas las agencias federales corrijan la falla antes del 26 de marzo. La medida llegó tras surgir evidencia de que la vulnerabilidad no es solo teórica - los ataques reales están ocurriendo. Sin embargo, los detalles permanecen envueltos en secreto. Rockwell Automation, aunque actualizó su aviso para reconocer la explotación, hasta ahora ha evitado revelar detalles específicos sobre los incidentes.

Los dispositivos ICS son notoriamente difíciles de asegurar. Muchos nunca fueron diseñados para conectarse a internet, pero una búsqueda en Shodan revela miles de dispositivos Rockwell expuestos en la web pública. En enero de 2024, Rockwell emitió un nuevo aviso instando a los clientes a desconectar sistemas sensibles del acceso en línea, subrayando el riesgo persistente. La advertencia de la compañía nombró a la CVE-2021-22681 como una de las principales preocupaciones, sugiriendo que solo era cuestión de tiempo antes de que los atacantes apuntaran a ella.

No es la primera vez que los productos de Rockwell están en la mira. El año pasado, agencias de seguridad advirtieron sobre actores de amenazas persistentes avanzadas (APT) desarrollando exploits para otras fallas en los controladores de Rockwell. Pero este es el primer caso confirmado de explotación activa, convirtiéndose en una llamada de atención para todo el sector industrial.

Mientras se asienta el polvo, el episodio plantea incómodas preguntas sobre la seguridad de la infraestructura crítica. Con vulnerabilidades heredadas persistiendo y atacantes cada vez más audaces, la brecha entre la conveniencia industrial y la resiliencia cibernética nunca ha sido tan peligrosa - ni tan urgente de cerrar.

WIKICROOK

• Controlador Lógico Programable (PLC): Un Controlador Lógico Programable (PLC) es una computadora especializada que automatiza y controla procesos industriales en fábricas, servicios públicos e infraestructuras.
• Sistema de Control Industrial (ICS): Un Sistema de Control Industrial (ICS) es un conjunto de herramientas informáticas que monitorean y controlan operaciones industriales como energía, agua y manufactura.
• Clave Criptográfica: Una clave criptográfica es un código digital que cifra o descifra datos, asegurando que solo usuarios autorizados puedan acceder a la información protegida.
• Catálogo de Vulnerabilidades Conocidas Explotadas (KEV): El Catálogo KEV es una lista oficial de vulnerabilidades de software confirmadas como explotadas por atacantes en incidentes cibernéticos reales.
• Amenaza Persistente Avanzada (APT): Una Amenaza Persistente Avanzada (APT) es un ciberataque prolongado y dirigido por grupos expertos, a menudo respaldados por estados, que buscan robar datos o interrumpir operaciones.