# Taking Apart and Taking Over ICS & SCADA Ecosystems: A Case Study of Mitsubishi Electric - Mars Cheng, Selmon Yang

{%hackmd @HITCON/rkYm1whdY %}

> 從這開始

###### tags: `HITCON2021`,`HITCON`

:::info
[TOC]
:::

## Modern ICS/SCADA Ecosystems Overview
工控不能只做攻擊，也要減緩風險及保護它

### 三菱(Mitsubishi)
- 對於工控，三菱的設備占全世界一成，在亞洲就是 TOP1
- 自動化全球第二，第一名是西門子

### Ecosystem Scope
大部份的市占都會用西門子設備的共同協定，但今天要討論的是三菱的私有通訊協定，目前沒有相關研究。
* 三菱設備的共通點:共通通訊協定

目前的漏洞研究都在軟體層級，沒有涉及通訊協定

到底三菱的通訊協定，到底安不安全呢？

### ICS/SCADA 通訊協定 - Modbus
可能就 Modbus + 自行需求的通訊協定。

西門子就很直接，從頭到尾就是 S7/S7+ 的通訊協定。

那麼三菱呢？三菱就有分很多區段，像說 MELSEC-SLMP、Modbus/TCP、EtherNET/IP…
但前端在 EWS 之前，有私有的 MELSOFT 通訊協定 跟 PLC 有 CC-LINK～

那麼相關於其他的通訊協定如何呢？

## Dissect & Compromise

那麼我們有沒有機會可以做 Melsoft 的攻擊呢？
目前我們的手法是逆向反解此次的實作。

#### Melsoft Authentication
EWS --- PLC
<通訊界接>

用逆向去繞過以取得存取授權

#### GxWork
Challenge Code：

- 有身份驗證，但不嚴謹
在實作上，可以做假的工程工作站可以取得授權做操弄認證機制

- 程式沒有加密 或是弱加密 (如base64) 或混淆，可讀性高

- 逆完整個過程約 2-3 個月 (版次差異、程式寫法很糟糕)

### 不要只做逆向 + 一併去做網路分析 = TAKE IT！

使用 Wireshark 去看封包內容。
身份驗證 = checksum 簡單檢核，對攻擊者來說太容易了。

### Overwriting the PlC Program
MELSOFT Request (竄改，覆寫入工控記憶體)
Fake EWS <---> PLC

如，發電機的PLC 在運作的時候，攻擊者對於某個點位去做置換，那麼～
就會導致真實的發電機的流程或執行異常，甚至損失

- 透過 Wireshark 去觀察，但你會發現有些區段無法識別，因為這是逆向回去的結果。

- 然後竄改 MELSOFT Request，覆寫入工控記憶體，透過擷取權限，Error Code = 0x0000 ，就代表取得權限了！

- 之後想要對工控做什麼就能做什麼啦 =v=+++

- 一次就能控制【相同型號】的上百上千的工控設備。

- 但由於要寫入的內容檔案很大，所以在寫入的時候需要分批寫入。

- 一切都沒有被防護機制擋住，因為這些行為無法被防毒或是防禦機制所識別。

#### DEMO - 工控風扇

MELSOFT Series

## 通訊協定的應用

### CPU 模組

### 網路模組
#### MITRE ATT&CK Matrix
相應的通訊協定風險都很高。

## 漏洞回報給三菱
基本上跟三菱的來回很頻繁。

基本上漏洞的機制，三菱認為是功能：以防止其他非三菱的設備連結，但～我們一再提醒很重要跟相關的風險威脅…
三菱認為這此為功能而非漏洞。 (重覆來來回回很多次，直到給PoC影片之後才有正視這個問題)

但鬼打牆的是說，他們認為通訊協定是 SLMP 有問題而非 MELSOFT 協定… (重覆提供相關實作及影響)

已通知三菱說會分享漏洞；三菱說：OK！去講！但不能說這個是三菱產品的漏洞！ //蛤？
而且也不修！我就不改！！！！！

但這裡很可怕的是！這些工控廠商，都沒有意識到這樣弱點帶來的影響；
我們家的油、水、電、關鑑基礎設施的廠商，可能都沒有這樣的意識，
這其實是很嚴重的。
所以我們才想要讓廠商知道有這樣的問題。

期望廠商會有更棒的資安意識跟防禦機制。
---

## Q & A

1．廠商是有能量可以修復的嗎？

當然！但要修的東西不只是軟體，而是還有硬體的驗證規格也要調整。
硬體或韌體是有機會修正的；但會卡在硬體或韌體漏洞更新的難度，可能需要長時間的維護。

4．如果有人想要買 PLC ，需要準備多少預算？
便宜數十萬，貴的數百萬；看你的規格，工控是真的高單價，功能越多，單價也會越高。

5．在回報時，能不能分享廠商不願意更新的原因？
對於資安的意識不夠，不是消極，而是需要生態系或是通訊協定整個架構上的大調整。
可能是原因。

6．請問對於類似 GxWork 這種非常大的程式，甚至no symbol，也無可參考的第三方source code, 通常就講者的經驗，會用什麼方式去切入？以GxWork為例，逆向時遇到主要的瓶頸是什麼，以及最終克服的思路？ 另外請問slide及plug-in會公開嗎？謝謝

花時間！
把所有通訊協定給硬幹出來的！
會公開！

7．三菱有自己的圖控軟體嗎？
會後分享。

## Story

## Mitigation & Closing Remarks

<!---大家加油 Mars的語速很可怕--->