UPS网络攻击并非耸人听闻！现代UPS电源或成网络攻击跳板或可沦为机房定时炸弹：TLStorm漏洞原理演示及攻击实验

Armis研究人员在APC Smart-UPS设备中发现了一组三个关键漏洞，称为 TLStorm。如果被利用，这些漏洞可能允许攻击者远程操纵数百万企业设备的电源，接管Smart-UPS设备，并可能对关键设施（包括服务器机房、医疗设施、OT/ICS 环境）进行极端的网络物理攻击。Armis的原理演示和攻击效果演示，展示了这一组漏洞的现实危害性。警惕各相关机构引起足够重视，争取早日修复漏洞，加强重点部位网络关键资产的掌控。去年3月10日，全球最大的网络主机服务商之一的法国斯特拉斯堡数据中心发生严重火灾，事故调查最后定性是UPS电源故障引起的火灾。关于UPS的网络安全问题，早有呼吁，只是没有受到人们的重视。现代的UPS电源系统上使用SNMP接口卡，也会因SNMP协议的漏洞而导致UPS被远程操控。

第一个漏洞为设计缺陷漏洞，受影响设备上的固件更新未以安全方式进行加密签名。这意味着攻击者可以制作恶意固件并使用各种路径进行安装，包括 Internet、LAN 或 USB 拇指驱动器。这可以让攻击者在此类UPS设备上建立持久性据点，这些设备可以用作网络中的跳板，可以从中进行额外的攻击。

另外两个漏洞涉及UPS和施耐德电气云之间的TLS连接。支持SmartConnect 功能的设备会在启动时或云连接暂时丢失时自动建立TLS连接。这些漏洞可以通过未经身份验证的网络数据包触发，无需任何用户交互。Armis补充说，SmartConnect 是一个专用以太网端口，设备将通过该端口连接到云服务并允许对设备进行远程管理，并自动将设备连接到施耐德电气管理云。

详细分析可见：数据中心机房的噩梦--UPS不间断电源设备中发现的三个严重漏洞可让攻击者远程操纵数百万企业设备的电源

Armis在视频中解析了这三个漏洞的原理，视频如下。虽然该视频为英文解说，英文字幕，但不大影响读者对漏洞原理及应用方式的理解。

滥用固件升级机制中的缺陷正在成为APT的标准做法，正如最近在对 Cyclops Blink恶意软件的分析中所详述的那样，固件的不当签名是各种嵌入式系统中反复出现的缺陷。例如，Armis之前在Swisslog PTS系统中发现的一个漏洞（PwnedPiper，CVE-2021-37160）是由类似类型的漏洞引起的。

以下对这次披露的三个漏洞的利用效果展示表明，被忽视的UPS有可能成为关键基础设施中软肋，或充当网络攻击的跳板，或成为破坏机房的祸首。

TLSstorm漏洞发生在连接当下数字和物理世界的网络物理系统中，使网络攻击有可能产生现实世界的后果。Armis平台解决了这种超连接的现实，其中一个受损的身份和设备可以为网络攻击打开大门，并且每项资产的安全性已成为保护业务连续性和品牌声誉的基础。正在进行的研究通过提供100% 的IT、云、物联网、OT、IoMT、5G 和边缘资产的完整可见性来保护组织。UPS在之前的网络安全保护解决方案中，完全没有进入人们的视野。这一漏洞原理的解析及利用后果的演示，为所有网络安全防御者敲响了警钟。数字化无处不在，网络公无处不在，网络攻击无处不在！

2021年3月10日，全球最大的网络主机服务商之一的法国斯特拉斯堡数据中心发生严重火灾，事故调查最后定性是UPS电源故障引起的火灾。其实UPS电源的网络攻击早有传闻。专用的监控软件可对UPS进行实时监测运行状态、远程操作控制、各项参数设置等监控管理功能，通过监控程序关停UPS是可以做到的。虽然UPS被认为是在实际的电力事件中作为第一道防线，它也可以用作网络/物理攻击的第一个突破点。因为现代的UPS电源系统会使用SNMP接口卡。这个基于SNMP协议的接口卡允许以下操作:立即关闭UPS；在一个特定的时间安排UPS的关机和重启；关闭电源到选定的小电源插座或大电源；排空或断开备用电池；鉴于SNMP协议三个版本的天然脆弱性，通过攻击SNMP接口卡达成对UPS电源的控制是完全可行的。

本次TLStorm系列漏洞再次将UPS电源的网络安全问题推到了风口，上述演示和实验表明，远程攻击UPS已不是耸人听闻或天方夜谭！！

参考资源 

1、https://www.itsecurityguru.org/2022/03/08/tlstorm-armis-finds-three-critical-zero-days-in-apc-smart-ups-devices-that-could-impact-over-7-in-10-organisations-worldwide/

2、https://www.armis.com/research/tlstorm/