Laboratorio de subestación Industroyer / CRASHOVERRIDE
Defiende una subestación frente al ataque real de Industroyer: detecta órdenes maliciosas a interruptores por IEC 104 / 61850 y responde. Esquema unifilar en directo.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
En diciembre de 2016, el malware conocido como Industroyer (ESET) o CRASHOVERRIDE (Dragos) abrió los interruptores de una subestación de transporte de Kiev enviando órdenes de control válidas por IEC 60870-5-104, IEC 61850 MMS/GOOSE y OPC DA (protocolos que no autentican al emisor) y dejó fuera de servicio relés Siemens SIPROTEC con una denegación de servicio (CVE-2015-5374). Este laboratorio en el navegador, basado en ese ataque real a la red eléctrica de Ucrania y en su sucesor de 2022, Industroyer2, te pone del lado de la defensa: trabajas 12 eventos en un esquema unifilar en directo mientras los interruptores disparan y se reconectan, con enumeración de RTU y órdenes a interruptores por IEC 60870-5-104, escrituras de control por IEC 61850 MMS, estados GOOSE falsificados, escrituras OPC DA y la denegación de servicio del relé SIPROTEC mediante CVE-2015-5374. En cada evento eliges la detección o la respuesta: DPI que entiende el protocolo, lista de orígenes permitidos, segmentación, línea base del modelo de datos de los IED, parchear la denegación de servicio del relé o pasar al control manual local. El hilo conductor es un hecho del protocolo: IEC 101/104 e IEC 61850 (MMS/GOOSE) no tienen autenticación nativa, así que el malware abrió los interruptores con órdenes válidas desde un emisor no autorizado. Con puntuación y nota de S a D. Es estrictamente educativo y centrado en la defensa (comportamiento observado, detección y mitigación a partir de informes públicos de ESET, Dragos y CISA/CERT-UA), sin código de exploit ni cargas. Es un laboratorio Pro.
- Observa el esquema unifilar de la subestación mientras los interruptores disparan y se reconectan.
- Trabaja los 12 eventos: enumeración de RTU, órdenes IEC 104, escrituras MMS de IEC 61850, GOOSE falsificado, escrituras OPC DA y la denegación de servicio de SIPROTEC.
- En cada evento elige la detección o la respuesta: DPI que entiende el protocolo, lista de orígenes permitidos, segmentación, línea base de los IED, parcheo o control manual local.
- Revisa tu puntuación y tu nota de S a D.
Preguntas frecuentes
¿Qué es el laboratorio Industroyer / CRASHOVERRIDE?
Un ejercicio en el navegador basado en el ciberataque de diciembre de 2016 que cortó la electricidad en Kiev (Ucrania) con el malware conocido como Industroyer (ESET) o CRASHOVERRIDE (Dragos), además de su sucesor de 2022, Industroyer2. Trabajas una serie de eventos sobre el esquema unifilar de una subestación mientras los interruptores disparan y se reconectan, y en cada evento eliges la detección o la respuesta correctas. Es una simulación didáctica desde la óptica del defensor, construida a partir de informes públicos, sin código de exploit ni cargas.
¿Qué protocolos usó Industroyer y por qué funcionaron?
Industroyer tenía cargas modulares que hablaban IEC 60870-5-101 e IEC 60870-5-104 (las variantes serie y TCP muy usadas en el transporte eléctrico europeo), IEC 61850 (MMS sobre TCP 102 y GOOSE, los protocolos del bus de estación) y OPC DA. Abría los interruptores enviando mensajes de control válidos (por ejemplo, ASDU de orden simple de 104) porque ninguno de estos protocolos autentica al emisor. Cualquier host que pueda llegar a las RTU y a los IED goza implícitamente de confianza para darles órdenes. Industroyer2, en 2022, lo redujo a un único módulo 104 codificado en el binario y dirigido a una subestación.
¿Qué era el componente de SIPROTEC (CVE-2015-5374)?
Industroyer llevaba un módulo de denegación de servicio que explotaba CVE-2015-5374 en relés de protección Siemens SIPROTEC vulnerables: un paquete UDP especialmente diseñado al puerto 50000 dejaba el relé sin respuesta hasta que se apagaba y encendía manualmente. Usado junto con la manipulación de los interruptores, eliminaba la protección automática justo cuando más falta hacía. Es el único componente de Industroyer ligado a una CVE publicada concreta; los módulos de órdenes a interruptores usaban el protocolo de forma válida, no una vulnerabilidad.
¿Cómo se defiende uno de verdad frente a esto?
Como los protocolos no van a autenticar, la defensa consiste en controlar quién puede llegar y en inspeccionar el contenido. Segmenta la red de control y canaliza el paso de IT a OT para que muy pocos hosts puedan hablar 104/61850 con los dispositivos de campo; permite solo al maestro legítimo enviar órdenes de control; ejecuta inspección profunda de paquetes que entienda el protocolo para las ASDU de control de 104, las escrituras de control MMS de 61850 y los GOOSE fuera de secuencia (saltos de stNum); establece una línea base de los modelos de datos de los IED para detectar el reconocimiento; parchea la denegación de servicio de SIPROTEC y filtra UDP/50000; y mantén la operación manual local como alternativa cuando la vía remota está comprometida, que es exactamente como los operadores restablecieron la electricidad en 2016.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.