Siemens WinCC под угрозой

[Бондарев Михаил]

я тоже сразу про Бушер подумал, неспроста такие вот локализации выплывают...

интересно, таки Сименс автоматика в Бушере или нет. Если, да, то запишите меня в партию конспирологов.

[Marrenoloth]

Сименс - Сименс! Не знаю что именно и насколько, но присутствует - 100%! У меня однокласник там ошивался.

[Jackson]

В бушере всё неоднозачно. За автоматику не скажу, а по части НКУ и систем питания был очень строгий отбор по критерию наличия сертификата РосАтомНадзора, и в НКУ сименс по этой причине не прошёл никак. Дошло до того что вместо одного ПЛК поставили целый шкаф с реле Zelio (хорошо ещё что не обычных реле).

Так что может сименс там только в 3 зоне безопасности и не ближе (к реактору).

[Marrenoloth]

Не спорю, но однокласник именно Сименсом занимается. Так что что-то Сименс там таки отхватил!

[Jackson]

Не спорю, но однокласник именно Сименсом занимается. Так что что-то Сименс там таки отхватил!

Мо быть.... в 4 и 3 зоне можно всё подряд ставить, ну почти. Чем ближе к реактору - тем круче требования.
А для получения сертификата АтомНадзора необходим выпуск технических условий на оборудование. Шнайдер не поленился и выпустил (поэтому с сертификатом), я их в руках держал. Было бы интересно взглянуть на ТУ на WinCC в таком случае :)

[Marrenoloth]

Мне, как дипломированному спецу по АСУ АЭС такие тонкости неизвестны :)) Вот такое кучерявое обучение. Спасибо, хоть термометр сопротивления от термопары отличаю!

[Василий Иванович]

Давайте опять не будем гнать без повода на Сименс. Кто хочет, пусть погуглит на тему "Teleperm XS". Только немцы Ирану его не продали, а продали древние гробы.

http://iprog.pp.ru/forum/read.php?f=1&i=43489&t=42881

[CHANt]

В нашем регионе в эксплуатации несколько ПТК Teleperm XP. За многие годы работы этих ПТК, нареканий от эксплуатации немного. Тендеры, а проходят через площадку http://www.b2b-energo.ru, проходят вполне легитимно и не без участия наших же местных энерго-ремонтно-строительных компаний, которые и привлекают СИ в лице Интеравтоматики (СП с Сименсом), при этом зарабатывают на СМР АСУТП неплохие деньги. На данный момент, уже несколько лет, взамен устаревшего Teleperm XP поставляется ПТК SPPA-T3000 на вполне современной базе контроллеров S7-400.
Более агрессивно, с коррупционными схемами, работают СИ полуотечественного производителя, чьи анонсы (я имею в виду производителя) довольно часто появляются и на этом форуме. Аллергии у меня на производителя нет, но гадостей и хамства от СИ в свое время насмотрелся и наслушался ;) ) Так что не все так гладко и без Сименса.
Пару лет назад, была попытка протолкнуть телемеханику от GE нетрадиционными методами :)
А оборудование GE - это да...




Этот баковый МВ с 1943 года в работе.
Все же считаю, основная вина за подобные методы лежит на интеграторах.

[hell_boy]

Вот скриншот, вероятно сделанный на Бушерской АЭС 25.02.2009 г. http://www.upi.com/News_Photos/Features ... an/1581/2/
Содержимое сообщения:
"WinCC Runtime License
Your software license has expired
Please obtain a valid license"
Скриншот установки водоподготовки.
Далее в этой подборке фотографий говорится о том, что в Исфахане на фабрике по обогащению урана работает 6000 новых центрифуг. Если предположить, что для каждой центрифуги идет своя WinCC плюс еще столько же, если не больше, "подпольных" центрифуг, то и выходим на несколько десятков тысяч инсталяций WinCC. Интересно, что немцы жестко пресекают попытки продажи Ирану технологий, которые потенциально могут быть использованы в создании ядерного оружия http://www.jewishsearch.com/print/article_6088.html
Очень похоже, что Stuxnet был подброшен иранцам в виде флэшки со свежим кряком WinCC.

[Василий Иванович]

Дату я видел. Дело в том, что за исключением Eset больше никто из производителей антивирусов о второй версии не отрапортовал. А патч Microsoft имеет тоже 2-ю версию от 24 августа. Первая от 2-го августа оказалась не совсем удачной.

"Первая" версия вируса в терминологии Eset не связана с WinCC:

В Eset говорят, что хоть пока компания и занята изучением второго варианта червя, очевидно, что он очень похож на первый вариант, хотя создана вторая версия была для атаки на системы Siemens SCADA (supervisory control and data acquisition). Дата компиляции второго варианта червя - 14 июля.

Не корысти ради, а токмо в силу любопытства выяснил также, что нового в последней версии патча.

Revisions•
V1.0 (August 2, 2010): Bulletin published.
•
V1.1 (August 3, 2010): Added an entry to the section, Frequently Asked Questions (FAQ) Related to This Security Update, to clarify why Server Core installations are affected.
•
V1.2 (August 24, 2010): Added an update FAQ to announce a detection change. This is a detection change only. There were no changes to the security update files in this bulletin. Customers who have already installed the update successfully do not need to reinstall.

Короче, без FAQа патч "неудачный", да?

[Marrenoloth]

Вот скриншот, вероятно сделанный на Бушерской АЭС 25.02.2009 г. http://www.upi.com/News_Photos/Features ... an/1581/2/

На 19 картинке явно винсисёвые экраны да и программатор подозрительно что-то напоминает... Вопрос к спецам - А что на стене за схемы? В смысле, что за участок? Косвенно узнаем чем сименс управляет.
А на восьмом на заднем плане шкаф - в нем что-то весьма напоминающее панель либо Микро, либо от S7-200. Значить Сименсу там много. И, кстати, шкаф явно не на месте - кнопки по высоте явно для на нажимания ху^Wпиписькой. Шкаф просто прислонили к стеночке, ибо комиссия? Судя по хвостам, он вообще может быть не подключен. Но если все сделают так: , то никто ничего не заметит

[MuadDib]

8-я фотка не с электростанции, а с завода по производству топлива...

Схемы на стене при таком качестве фото разглядеть трудновато. А вот на скрине WinCC с сообщением об ошибке, похоже, водоподготовка. Экстерминатус откладывается?

[hell_boy]

Еще парочка фото (февраль 2009):
http://i2.cdn.turner.com/cnn/2009/image ... ushehr.jpg
http://gdb.rferl.org/B296ADEC-D59D-42B5 ... w527_s.jpg

и целая галерея http://documentiran.photoshelter.com/ga ... K8KEbk/0/1

[Jackson]

Вот скриншот, вероятно сделанный на Бушерской АЭС 25.02.2009 г. http://www.upi.com/News_Photos/Features ... an/1581/2/

Повеселило окошко "Your software license was expired!". Шутки шутками, а такое же в прошлом году всплыло в ЦПУ ледокола Россия, на ходу. Что совсем несмешно было. Но там был QNX.

[Jackson]

а такое же в прошлом году всплыло в ЦПУ ледокола Россия, на ходу. Что совсем несмешно было. Но там был QNX.

Пока заключали новый договор на лицензию- ледокол застрял во льдах? :)

Проще. Ледокол как-то дошёл до наиближайшей к берегу точки СевМорПути, куда полетел специалист конторы, что проставляла систему (контора очень известная). В итоге караван был задержан.

[Бондарев Михаил]

Думаю по итогам обсуждения тему надо переименовать в "WinCC угрожает..."

[Efrem]

С высокой долей вероятности могу сказать, в Иране весь трансгаз на Сименсе. Откуда я это знаю? Не прашивайте -не скажу, низя :)

[Василий Иванович]

Вирус ищет, не присутствует ли в сети определённый контроллер, в котором работает определённая программа.
Всё, что находит, пытается сообщить на анонимных хостинг в Интернет.
После чего грузит свой софт в контроллер и ждёт удобный момент.
Когда "0day" наступает, вирус отключает одну из функций программы, работающей в контроллере.

Узконаправленная диверсия чистой воды. Лангнер грешит на "Атомстройэкспорт", что разнёс заразу по Южной Азии, но это пока лишь спекуляция.

Кстати, червь использует не одну, а три дыры из Windows, распространяясь таким образом не только через USB, но и по сети. На прошлой недели появился ещё один патч от Microsoft.

[Jackson]

До кучи: http://malaya-zemlya.livejournal.com/584125.html

[Бондарев Михаил]

После чего грузит свой софт в контроллер и ждёт удобный момент.

тогда попытка выйти в онлайн дезавуирует вирус...ввиду несовпадения онлайн и оффлайн версий.
в чем подвох? Или и в степ7 тоже есть уязвимости?

[Василий Иванович]

После чего грузит свой софт в контроллер и ждёт удобный момент.

тогда попытка выйти в онлайн дезавуирует вирус...ввиду несовпадения онлайн и оффлайн версий.
в чем подвох? Или и в степ7 тоже есть уязвимости?

Вирус отслеживает степовский длл и убирает свой код из общего списка, поэтому остается невидимым онлайн. Лангнер писал, что идентифицировать его можно по наличию определённых блоков данных в Вашем проекте. Вирус ищет в проекте блоки данных с номерами DB890 и DB8062. Если у Вас в проекте отсутствуют эти блоки, то судя по всему, бояться нечего, Ваш проект его не заинтересует.
В случае жёлтых блоков (ПАЗ) у Сименса обязательно доступ в контроллер по паролю. Я пока не слышал, что вирус ломает пароль в контроллер, хотя и этого исключить нельзя.

Лечение заражённого контроллера видится мне полной перезаливкой проекта с чистого компьютера. Вот ссылка на патчи остальных дыр от Майкрософт:

http://www.microsoft.com/technet/securi ... 8-067.mspx
http://www.microsoft.com/technet/securi ... 0-061.mspx

[Василий Иванович]

А с чего Вы взяли, что он цели не достиг? Об этом пострадавший широко трубить не станет. Многие ли слышали об аварии на газопроводе в 1989 году? А ведь есть версия, что это была закладка в закупленном на Западе контроллере:
http://ru.wikipedia.org/wiki/%D0%96%D0% ... 0%BE%D0%B9

Под чем сидит энергетика - вопрос суть неважный. Я уверен, что любой другой продукт тоже уязвим. При наличии средств можно ломануть что угодно. Поэтому повторяю: Сименс попал под раздачу в силу присутствия его на "нужном" для диверсии объекте. Было бы что-нибудь другое - ломанули бы и это другое.

[Василий Иванович]

цель- Бушер. Он пока жив :)
А еще Сименс попал под раздачу при наличии в открытых источниках детальной информации о его уязвимостях и багах, взломаных версиях и т.д.

Предположение о цели лишь предположение (да и Бушер-то и не работает пока...).

Две новые дыры от Майкрософт тоже в открытых источниках обсуждали?

Использованные уязвимости и в Виндовсе, и в Сименсе были вновь открыты. Кто-то серьёзно вложился в разработку вируса, не забивая себе голову юридическими последствиями. Пропатчить Step7 - это, извините, не фунт изюму съесть. Этот червь - творение не одиночки, но коллектива, нанятого очень солидным заказчиком, скорее всего государственной структурой.

[Василий Иванович]

Многие ли слышали об аварии на газопроводе в 1989 году?

См. Была ли диверсия в 1982?

[/quote]

Я вам про Фому, а Вы мне - про Ерёму. 82 от 89 года отличаете?

[Василий Иванович]

В принципе, даже если это и не была диверсия, это ведь не опровергает исходного тезиса, что никто на весь мир про диверсию трубить не будет, ежели что случится. Себе дороже.

Это я тоже уже все читал.

Ну так ежели читали, откель сомнения, что не-Сименс не ломанули бы?