Intrusione industriale: vulnerabilità concatenate espongono le fabbriche controllate da CODESYS a takeover furtivi
Sottotitolo: Gli attaccanti combinano più falle per dirottare i controllori industriali, con il rischio di sabotaggi e caos operativo.
Immagina un reparto di fabbrica in cui le macchine operano con precisione, le valvole si aprono e si chiudono a comando e i bracci robotici non perdono mai un colpo-o almeno così sembra. Sotto questa calma orchestrata, fino a poco tempo fa si nascondeva una minaccia silenziosa: un trio di vulnerabilità nel runtime CODESYS Control, ampiamente utilizzato, ora individuate e corrette, che avrebbe potuto consentire agli attaccanti di prendere il controllo di sistemi industriali critici con inquietante facilità.
L’anatomia di un attacco industriale furtivo
La recente scoperta di Nozomi Networks Labs ha fatto tremare la comunità della cybersecurity industriale. I loro ricercatori hanno rilevato che, concatenando con astuzia tre nuove falle identificate-CVE-2025-41658, CVE-2025-41659 e CVE-2025-41660-un attaccante anche con privilegi minimi avrebbe potuto sostituire codice di automazione fidato con una versione malevola, installando di fatto una backdoor con controllo amministrativo sia sul dispositivo industriale sia sul sistema operativo sottostante.
CODESYS, colonna portante dell’automazione in settori che vanno dall’energia alla manifattura, consente ai comuni computer di agire come cervello dei processi industriali. Le vulnerabilità appena emerse colpivano il cuore stesso di queste operazioni, abilitando un attacco in più fasi:
- Acquisizione delle credenziali: l’attaccante ottiene credenziali a livello Service-tramite password deboli, workstation compromesse o sfruttando CVE-2025-41658 per estrarre gli hash delle password.
- Download dell’applicazione: con l’accesso, scarica il backup dell’applicazione del PLC, archiviato come file ZIP con un controllo di integrità CRC32 debole.
- Aggiramento crittografico: usando CVE-2025-41659, gli attaccanti estraggono le chiavi crittografiche, eludendo protezioni come la firma del codice o la cifratura.
- Iniezione malevola: il binario viene modificato-ad esempio con una backdoor a livello root-poi reimpacchettato per apparire legittimo.
- Ripristino furtivo: sfruttando CVE-2025-41660, l’applicazione manomessa viene caricata nuovamente sul dispositivo.
- Esecuzione: la backdoor entra in funzione al riavvio del dispositivo, lasciando agli attaccanti un controllo totale.
Le implicazioni sono gravi: gli attaccanti potrebbero manipolare i processi industriali, falsificare i dati dei sensori, aggirare i controlli di sicurezza o persino sabotare le apparecchiature-rischi che dal digitale si spostano nel mondo fisico.
Fortunatamente, dopo una divulgazione responsabile, CODESYS ha corretto rapidamente le vulnerabilità e ha reso obbligatoria la firma del codice per tutte le applicazioni PLC. Gli specialisti di sicurezza ora esortano le organizzazioni ad applicare le patch senza indugio, rafforzare le credenziali, segmentare le reti operative e monitorare attività insolite per prevenire lo sfruttamento.
Conclusione: la posta in gioco della sicurezza industriale
Questo episodio è un duro promemoria del fatto che l’operational technology è un bersaglio privilegiato per attacchi informatici sempre più sofisticati. Man mano che il mondo digitale e quello fisico convergono, la resilienza di fabbriche, centrali elettriche e infrastrutture dipende non solo dagli aggiornamenti software-ma da una cultura di vigilanza e difesa proattiva.
WIKICROOK
- Soft PLC: un soft PLC è un controllore software che imita i PLC hardware, eseguendo su computer standard l’automazione dei processi industriali e aumentando la flessibilità.
- CRC32: CRC32 è un metodo rapido di checksum per rilevare errori accidentali nei file, ma non è sicuro contro manomissioni intenzionali o attacchi.
- Root Shell: una root shell offre agli utenti pieno controllo amministrativo su sistemi Unix o Linux, consentendo l’esecuzione illimitata di comandi e modifiche al sistema. Usare con cautela.
- Code Signing: la firma del codice è il processo di firma digitale del software per dimostrare che proviene da una fonte fidata e non è stato manomesso.
- Operational Technology (OT): l’Operational Technology (OT) include i sistemi informatici che controllano apparecchiature e processi industriali, spesso rendendoli più vulnerabili rispetto ai sistemi IT tradizionali.
