Laboratorio PIPEDREAM / INCONTROLLER
Haz el triaje de cada módulo del kit de ataque ICS PIPEDREAM / INCONTROLLER (CISA AA22-103A): activo, protocolo y mitigación correcta.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
En abril de 2022, la alerta CISA AA22-103A reveló un marco de ataque modular, de nivel estatal, para sistemas de control industrial: PIPEDREAM para Dragos (el grupo CHERNOVITE) e INCONTROLLER para Mandiant. Se descubrió antes de que se usara nunca. Este laboratorio convierte sus componentes publicados en un triaje para defensores: en cada módulo decides a qué activo llega (un PLC de Schneider Electric, un PLC OMRON Sysmac NEX, un servidor OPC UA o el propio host Windows de ingeniería), qué protocolo abusa (Modbus/UMAS, CODESYS, FINS, OPC UA) y qué control lo detiene. La puntuación refuerza la lección real: el kit es modular y específico de cada protocolo, así que la defensa también debe serlo; una contraseña de Schneider no hace nada por una ruta OMRON ni por un host comprometido. Se puntúa por el mapeo correcto de activo y mitigación, con niveles de dificultad, bono por velocidad y notas de la S a la D. Solo desde la óptica del defensor, sin detalles de explotación. Es un laboratorio Pro.
- Lee la descripción publicada de cada módulo del kit.
- Elige a qué activo llega: PLC de Schneider, PLC OMRON Sysmac, servidor OPC UA o host Windows de ingeniería.
- Elige el protocolo que abusa y la mitigación o detección correcta.
- Revisa la puntuación y sube de nivel de dificultad.
Preguntas frecuentes
¿Qué es PIPEDREAM / INCONTROLLER?
PIPEDREAM (el nombre que le dio Dragos, atribuido al grupo de actividad CHERNOVITE) e INCONTROLLER (el nombre de Mandiant para el mismo conjunto de herramientas) son un marco de ataque modular, de nivel estatal, para sistemas de control industrial, revelado en abril de 2022 en la alerta CISA AA22-103A. Destaca por haberse descubierto antes de usarse en un ataque real. Sus módulos pueden buscar, enumerar, dar órdenes y perturbar controladores concretos, e incluye componentes que actúan sobre el host Windows y no sobre ningún PLC.
¿A qué dispositivos y protocolos apunta?
Según lo publicado, el kit apunta a PLC de Schneider Electric por Modbus y el protocolo de gestión UMAS (y a través del runtime CODESYS), a PLC OMRON Sysmac NEX por el protocolo OMRON FINS y un servicio HTTP integrado, y a servidores OPC UA por OPC UA. También incluye componentes a nivel de host: un implante de operaciones remotas en la estación de ingeniería Windows y una técnica que carga un controlador firmado con vulnerabilidades conocidas para escalar privilegios en ese host.
¿Por qué importa a los defensores emparejar cada módulo con su protocolo?
Porque la defensa sigue al protocolo y al activo, no al efecto. Monitorizar y restringir Modbus/UMAS protege los PLC de Schneider pero no hace nada por una ruta OMRON FINS; activar la firma y la autenticación por certificado de OPC UA protege la capa de datos pero no un controlador; y una lista de bloqueo de controladores vulnerables protege el host Windows pero ningún PLC. Un kit modular y específico de cada protocolo exige una respuesta modular y específica de cada protocolo, que es justo lo que entrena este laboratorio.
¿Es un exploit o una herramienta de ataque real?
No. Es un triaje educativo, centrado en el defensor, de capacidades publicadas tal como las describen CISA, Dragos y Mandiant. No contiene código de explotación, payloads ni instrucciones operativas de ataque. Cada módulo se presenta al nivel de «a qué clase de activo llega, por qué protocolo y cómo lo detecta y mitiga un defensor», así que el aprendizaje trata de segmentación, autenticación y monitorización.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba de herramientas Pro en total; después necesitas Pro.