Firmware tampering nei dispositivi di campo: come avviene e come rilevarlo

Perché il firmware è un bersaglio privilegiato

Il firmware è il software più vicino all'hardware: esegue direttamente sul processore del dispositivo, prima di qualsiasi sistema operativo, con accesso diretto alle risorse fisiche. Nei dispositivi OT (PLC, RTU, gateway industriali, sensori intelligenti) il firmware è ciò che determina il comportamento del dispositivo a livello fondamentale.

Questa posizione privilegiata lo rende un bersaglio attraente per gli attaccanti che cercano persistenza a lungo termine. Un firmware modificato sopravvive a qualsiasi reinstallazione del sistema operativo, a qualsiasi cambio di credenziali, a qualsiasi aggiornamento del software applicativo. È invisibile agli strumenti di sicurezza convenzionali che operano a livello OS. E nei dispositivi OT con cicli di vita decennali, può rimanere dormiente per anni prima di essere attivato.

Come avviene il tampering: vettori e tecniche

Il tampering del firmware può avvenire attraverso diversi vettori:

Aggiornamento firmware compromesso: il vettore più comune nei dispositivi connessi. Se il processo di aggiornamento firmware non verifica l'integrità e l'autenticità del file prima di installarlo, un attaccante che può intervenire nel canale di distribuzione (man-in-the-middle, compromissione del server di aggiornamento, sostituzione del file) può far installare al dispositivo un firmware modificato.

Accesso fisico alla porta di debug: molti dispositivi OT hanno porte JTAG o UART accessibili fisicamente, progettate per la diagnostica in fabbrica e la programmazione durante la produzione. Queste porte spesso non vengono disabilitate nei dispositivi finali e permettono l'accesso diretto alla memoria del dispositivo, inclusa la modifica del firmware.

Sfruttamento di vulnerabilità nel firmware esistente: se il firmware attuale ha vulnerabilità (buffer overflow, command injection, autenticazione debole sulle interfacce di gestione), queste possono essere usate per ottenere esecuzione di codice arbitrario sul dispositivo, che può poi modificare il firmware stesso.

Supply chain: come discusso nell'articolo sugli attacchi supply chain, il firmware può essere compromesso prima della consegna, durante il processo di produzione o distribuzione.

Persistenza e stealth: perché è difficile rilevarlo

Il firmware modificato ha caratteristiche che lo rendono eccezionalmente difficile da rilevare con gli strumenti tradizionali:

Invisibilità al sistema operativo: un agente di sicurezza endpoint installato a livello OS non vede il firmware. Non può leggere il contenuto della memoria flash dove il firmware è memorizzato, non può monitorare la sua esecuzione.

Comportamento normale la maggior parte del tempo: un firmware ben progettato per la persistenza esegue le sue funzioni legittime normalmente, attivando il comportamento malevolo solo in risposta a trigger specifici: un comando esterno, una data, una condizione di processo. Un monitoring operativo normale non vede nulla di insolito.

Sopravvivenza ai reset: anche un factory reset del dispositivo, nella maggior parte dei casi, non sovrascrive il firmware. Il firmware modificato sopravvive. Per eliminarlo è necessario un'operazione esplicita di reflash con firmware verificato.

Difficoltà di confronto: per rilevare che un firmware è stato modificato, occorre confrontarlo con una versione di riferimento affidabile. Questo richiede di avere versioni di riferimento autenticate, l'accesso alla memoria del dispositivo per estrarre il firmware corrente, e strumenti per il confronto. In molti ambienti OT, questa capacità non esiste.

Tecniche di rilevamento: cosa funziona davvero

Nonostante le difficoltà, esistono approcci per rilevare il firmware tampering:

Misurazione dell'integrità basata su hash: estrarre il firmware dal dispositivo e confrontare il suo hash crittografico con l'hash del firmware autentico fornito dal produttore. È il metodo più diretto, ma richiede la capacità di estrarre il firmware (non sempre triviale) e versioni di riferimento affidabili.

Attestazione remota: alcuni dispositivi moderni implementano meccanismi di attestazione basati su chip di sicurezza (TPM o equivalenti hardware) che permettono di verificare in remoto l'integrità del firmware. È la soluzione più robusta, ma richiede supporto hardware dedicato spesso assente nei dispositivi legacy.

Analisi del comportamento di rete: un dispositivo con firmware compromesso che comunica con infrastrutture C2 esterne lascia tracce nel traffico di rete. Il monitoraggio delle comunicazioni di rete dei dispositivi OT, confrontato con una baseline del comportamento normale, può rilevare connessioni anomale anche quando il firmware stesso è invisibile.

Timing analysis: operazioni di computazione del firmware modificato possono avere signature temporali diverse rispetto al firmware originale. Tecniche di analisi dei tempi di risposta, applicate sistematicamente, possono rilevare anomalie.

Scansione periodica con strumenti specializzati: alcuni tool di sicurezza OT includono la capacità di interrogare dispositivi specifici per verificare la versione e l'integrità del firmware in modo non invasivo.

Proteggere il ciclo di vita del firmware

La prevenzione è più efficace della detection:

Secure boot: i dispositivi che supportano secure boot verificano la firma crittografica del firmware all'avvio. Firmware non firmato o con firma non valida non viene eseguito. È il controllo più efficace, ma richiede supporto hardware che molti dispositivi legacy non hanno.

Firma e verifica degli aggiornamenti: qualsiasi processo di aggiornamento firmware deve verificare la firma crittografica del file prima dell'installazione. Non deve essere possibile installare firmware non firmato o con firma non valida.

Disabilitare le porte di debug: le porte JTAG e UART sui dispositivi in produzione dovrebbero essere disabilitate fisicamente o logicamente dove possibile. Almeno, l'accesso fisico ai dispositivi dovrebbe essere controllato.

Inventario delle versioni firmware: mantenere un inventario aggiornato delle versioni firmware di tutti i dispositivi OT. Le discrepanze rispetto alla versione attesa sono un segnale di indagine.

La protezione del firmware è un'area dove il gap tra sistemi OT moderni e legacy è particolarmente acuto. Nei nuovi deployment è possibile richiedere dispositivi con supporto secure boot e firma degli aggiornamenti. Per i sistemi esistenti, i controlli compensativi (monitoraggio di rete, accesso fisico controllato, inventario sistematico) sono il meglio che si può fare.

L'angolo MON5

Rilevare un firmware compromesso dall'interno del dispositivo è spesso impossibile, ma il suo comportamento di rete lo tradisce. MON5 lavora esattamente su questo piano: NDR passivo fuori banda sui protocolli OT nativi (Modbus, Siemens S7, OPC UA, PROFINET, EtherNet/IP) e anomaly detection ML che costruisce la baseline di ogni dispositivo e segnala comunicazioni inattese, pattern di risposta alterati, traffico fuori orario.

L'inventario asset continuo tiene inoltre traccia delle versioni firmware, rendendo visibili le discrepanze rispetto allo stato atteso. Per sapere quali dispositivi di campo sono oggi un punto cieco, parti da un assessment OT.