你可能想不到,平常给爱车加油的加油泵也会被黑。如果不法分子可以引起加油站的油箱溢出,或者防止泄露报警器发出警报,它可能带来灾难性的后果,尤其是当他们一次性袭击某个地区的多个加油站。
为了了解这种威胁的真实性,来自于 TrendMicro 公司的 Kyle Wilhoit 和 Stephen Hilt 决定设立一个 GasPot——这是一个由虚拟加油泵监控系统所组成的“诱捕系统”,目的在于引诱黑客上钩,看他们会怎么对待这个虚拟的加油站。
这项研究工作的灵感来自于 Rapid7,其在今年早些时候找到了5800个不安全的自动化加油站。这些系统没有受到密码保护的加油站主要属于私有加油站、货车站和便利店,并不属于那些知名的石油跨国企业。
加油站的监控系统具有不同的功能,系统可以控制设置储罐液位和溢出的限制、监控剩余的燃油液位和衡量油罐的温度,有的系统还可以检测泄漏。
远程攻击者可以采取几种不同的方式利用这些系统控件。
首先,他们可以通过伪造的燃油水平,使得油罐实际上还存有很多油,但看起来油站已经没有油的方式让油站提前歇业;
或者他们可以将加油站上的“无铅”标签改成“优质”或“柴油”标签,引起油站的混乱;
他们也可以修改储罐液位和溢出的限制,从而导致危险。
2009年在波多黎各,就发生过一起油箱爆炸起火并燃烧了三天,事故原因就是因为电脑监控系统失效,油箱达到了容量上限后没能感应到。
他们在美国、英国、德国、约旦、巴西、俄罗斯和阿联酋都设置了这种虚拟的加油站系统,并观看了在过去大约五个月的时间里系统的活动情况(从今年2月到6月),其中美国的加油站吸引了更多黑客的关注。
在大多数情况下,攻击者只是简单地使用了自动扫描仪进行定位和探测系统。但也有少数大胆的攻击者更进一步,其中至少有九次入侵者将 GasPot 油罐的名称改成了“H4CK3D by IDC-TEAM”和“AHAAD WAS HERE”之类的东西。IDC-TEAM 可能指的是伊朗的黑客组织 Iranian Dark Coders Team,他们以入侵网站并用“H4CK3D by IDC-TEAM”标记它们自己而闻名。