Qué pasa fulanoides,

Como hace tiempo que no escribimos nada, creí que sería interesante hablar un poco de una noticia con la que nos hemos levantado hoy. Ha habido un brote de legionella en Madrid que ya ha costado la vida a 2 personas, como pasa en muchos casos, el brote todavía está sin identificar.

Y te preguntarás ¿Qué tiene que ver esto con los sistemas de control industrial? Lo intentaré explicar…

Algunos conceptos de la Wikipedia

«Las siglas HVAC corresponden al acrónimo inglés de Heating, Ventilating and Air Conditioning (Calefacción, Ventilación y Aire acondicionado), que engloba el conjunto de métodos y técnicas que estudian y analizan el tratamiento del aire en cuanto a su enfriamiento, calentamiento, (des)humidificación, calidad, movimiento, etc.»
http://en.wikipedia.org/wiki/HVAC

Como en cualquier otro entorno industrial, ahora mismo los fabricantes de dispositivos HVAC les están dotando de HMI, conexión remota, capacidad de telecontrol y telemetría etc… Desde nuestro punto de vista un sistema con dispositivos HVAC moderno podría considerarse como un sistema SCADA. De hecho protocolos como LonWorks, BACnet e incluso Modbus son usados en torres refrigeradoras, bombas, tanques,calderas, depósitos etc…

Los sistemas de climatización de un edificio serían parte del sistema HVAC. Dentro de éstos tendríamos la torres de refrigeración, foco principal de los brotes de legionella. Aunque existen diversos tipos, por lo general el funcionamiento de estas torres provoca un fenómeno llamado «arrastre» donde minúsculas gotas ,pertenecientes al circuito de agua usado en la refrigeración, son arrastradas por la corriente de aire que sale al exterior. En esas gotas es donde se encuentran las bacterias de la legionella, entre otras cosas que te puedes llevar de «regalo». Estas bacterias se suelen desarrollar en estas torres debido a la temperatura idonea que alcanzan y que es el caldo de cultivo perfecto para su proliferación.

Para evitar ésto, existen los llamado biocidas cuya misión es mantener el agua/aire libre de organismos patógenos ( con forma de pato ). Los biocidas, al igual que otros componentes químicos que son añadidos/forman parte del ciclo del agua pueden ser regulados, incluso remotamente por los sistemas de control HVAC. El cómo dependerá del hardware.

Un atacante podría modificar la manera en la que los biocidas son administrados, cambiando los setpoints, inutilizando alarmas para evitar que los niveles irregulares sean detectados, estableciendo una temperatura que favorezca la proliferación de bacterias, etc… ¿El resultado? Bien podría ser una noticia como la de antes.

No me gusta el FUD, este artículo no es FUD. Si cuento ésto es porque he encontrado vulnerabilidades en este tipo de sistemas…y pueden ser explotadas. No en España, que nadie se líe la cabeza. Aunque no quiere decir que aquí no existan…

El caso está en manos del ICS-CERT americano.