В устройствах крупнейшего производителя SCADA систем обнаружен бэкдор. Недокументированная учетная запись под именем «factory» предоставляет злоумышленникам права администратора. Пароль к данной учетной записи генерируется автоматически, исходя из MAC адреса. Изменить или отключить ее невозможно.
RuggedCom является разработчиком аппаратного обеспечения систем управления автомобильным и железнодорожным транспортом, военных и энергетических объектов. Информацию о наличии бэкдора компания получила еще в апреле 2011 года, но не уведомила об этом своих клиентов.
Только в феврале 2012 о бреши в устройствах RuggedCom узнали в американской организации US-CERT, которая 13 апреля 2012 года и заявила о данной уязвимости публично.
К этому времени компанию RuggedCom приобрела Siemens. Производитель попросил от US-CERT дать ему три недели, чтобы поставить в известность о наличии бэкдора своих клиентов. В свою очередь US-CERT потребовала от RuggedCom разъяснить причины в необходимости столь длительного срока. Однако на этот запрос никакой реакции разработчика не последовало. Поэтому не через три недели, а 23 апреля сообщение о бэкдоре было опубликовано американским ведомством в открытом доступе.
Производимое RuggedCom оборудование играет роль коммутатора между компьютерами, служащих для отправления команд, и программными логическими контроллерами. Оно находится между контроллером, который по команде оператора разрывает цепь, и рабочей станцией сотрудника предприятия. Эти устройства поддерживают протоколы связи DNP3 и Modbus, которые используются для прямого управления системами SCADA.
Представитель US-CERT Джастин Кларк (Justin Clarke) заявил в интервью Ars Technica: «Будучи гражданином, а также ознакомившись со списком клиентов на сайте компании, с уверенностью могу сказать, что я зависим от ее оборудования каждый день. Оборудование очень распространено, если я что-то делаю – еду в поезде, пользуюсь электроэнергией или перехожу через дорогу – это зависит от него».
Нужно отметить наиболее важных клиентов RuggedCom – это энергетическая компания Chevron, Министерство транспорта штата Висконсин, Американский Морской Флот.