En diciembre de 2023, una planta de tratamiento de agua en los Estados Unidos descubrió cambios no autorizados en sus controladores lógicos programables, los cuales se rastrearon hasta una sola unidad USB infectada que un técnico de mantenimiento había utilizado en múltiples sitios. Sin intrusiones remotas sofisticadas. Sin exploits de día cero. Solo una memoria USB del tamaño de un dedo.

Antes de continuar, no olvide consultar nuestra publicación anterior del blog sobre la Guía de Políticas de Control de Dispositivos USB en Redes Industriales aquí.

Este incidente no es un caso aislado. Según investigaciones publicadas por organizaciones de ciberseguridad industrial, las amenazas transmitidas por USB representan una parte significativa de todos los ciberataques dirigidos a entornos de tecnología de operaciones (OT). Y a diferencia de las intrusiones basadas en la red, los ataques por USB evaden por completo los firewalls, las zonas desmilitarizadas y los sistemas de detección de intrusos.

Para las organizaciones que operan sistemas de control industrial, sistemas de control distribuido, plataformas SCADA e infraestructura crítica, la seguridad de los dispositivos USB ya no es una preocupación secundaria de TI, es un riesgo operativo de primera línea. Esta guía detalla las amenazas del mundo real, los controles prácticos y las estrategias de cumplimiento que todo líder de seguridad de OT y gerente de planta necesita comprender.

Por qué los dispositivos USB siguen siendo el talón de Aquiles de la ciberseguridad industrial

Los entornos industriales tienen características únicas que hacen que las amenazas por USB sean especialmente peligrosas. Muchos sistemas de OT funcionan con sistemas operativos heredados que no se han actualizado en años, a veces décadas. Están aislados por diseño de las redes corporativas (air-gapped), lo que genera una paradoja: el aislamiento mismo destinado a protegerlos convierte a los soportes extraíbles en el canal principal para la transferencia de datos, actualizaciones de software y mantenimiento.

El resultado es predecible. Técnicos, contratistas y proveedores conectan habitualmente unidades USB para cargar firmware, transferir datos de historiales, instalar software suministrado por el proveedor o simplemente compartir archivos. Cada inserción es un vector de ataque potencial.

La magnitud del problema: datos de la industria

Incidentes del mundo real que redefinieron la seguridad USB para OT

Stuxnet: el incidente que lo cambió todo

El ejemplo más citado sigue siendo Stuxnet, el sofisticado malware que se propagó a través de unidades USB infectadas en la planta de enriquecimiento de uranio de Natanz en Irán, dañando físicamente las centrifugadoras mientras reportaba operaciones normales a los operadores. Lo que hizo que Stuxnet fuera un hito no fue solo su complejidad, sino su método de distribución: una unidad extraíble introducida en una red completamente aislada (air-gapped). Quince años después, el modelo de ataque que estableció sigue siendo replicado por actores de amenazas que apuntan a infraestructuras industriales en todo el mundo.

Triton/TRISIS: apuntando a los sistemas instrumentados de seguridad

In 2017, el marco de trabajo del malware Triton apuntó a los sistemas instrumentados de seguridad en una planta petroquímica en el Medio Oriente. Aunque el vector de intrusión inicial involucró el compromiso de la red corporativa, el mecanismo de persistencia y el movimiento lateral dentro del entorno de OT se basó en soportes extraíbles para llegar a los controladores de seguridad aislados. El incidente estuvo a punto de causar una falla física catastrófica que podría haber puesto en peligro vidas humanas.

Taiwan Semiconductor Manufacturing Company (2018)

TSMC, uno de los fabricantes de semiconductores más grandes del mundo, experimentó una infección de una variante de WannaCry que se propagó por sus plantas de fabricación, originada por la instalación de un software no verificado en una computadora conectada a la red de OT. La infección causó un cierre de producción de tres días, con pérdidas estimadas en 250 millones de dólares. La causa raíz: controles insuficientes sobre lo que se podía instalar desde soportes extraíbles en sistemas conectados a producción.

Reconocimiento de la red eléctrica de EE. UU. (2022)

Investigadores de seguridad descubrieron una campaña en la que actores de amenazas utilizaron dispositivos USB infectados disfrazados de artículos promocionales y los enviaron a empleados de múltiples organizaciones del sector energético. Al conectarse, las unidades instalaban un marco de acceso remoto diseñado para mapear la topología de la red de OT. La campaña se dirigió específicamente a las empresas de servicios públicos porque el acceso basado en USB es más difícil de detectar que las intrusiones de red.

Anatomía de un ataque basado en USB en sistemas de control industrial

Comprender cómo funcionan los ataques basados en USB en entornos industriales ayuda a los equipos de seguridad a diseñar defensas más eficaces. Estos ataques suelen seguir una progresión estructurada:

Etapa 1 - Introducción del dispositivo

Un dispositivo USB infectado ingresa a la instalación. Esto puede ocurrir a través de un empleado con buenas intenciones que conectó una unidad a una computadora externa, un contratista que utiliza su dispositivo de almacenamiento personal, un proveedor que recibió una unidad previamente infectada a través de su propia cadena de suministro, o una campaña de ingeniería social que distribuye unidades infectadas al personal objetivo.

Etapa 2 - Ejecución automática o manual

Los sistemas heredados en muchos entornos de OT todavía admiten la funcionalidad AutoRun (ejecución automática), lo que permite que el código malicioso se ejecute en el momento en que se inserta una unidad. En sistemas más robustecidos, el ataque puede requerir una acción humana, pero las técnicas de ingeniería social como disfrazar ejecutables como actualizaciones de firmware o archivos de configuración siguen siendo altamente efectivas.

Etapa 3 - Compromiso del host y movimiento lateral

Una vez ejecutado, el malware generalmente establece persistencia en la estación de trabajo de ingeniería o HMI, y luego intenta llegar a PLCs, RTUs u otros dispositivos de campo a través de protocolos de comunicación legítimos. Debido a que los protocolos de OT como Modbus, DNP3 y EtherNet/IP fueron diseñados para la confiabilidad, no para la seguridad, el malware puede emitir comandos que parecen indistinguibles de las acciones legítimas del operador.

Etapa 4 - Ejecución de la carga útil (payload)

Dependiendo de la intención del actor de amenazas, la carga útil puede ejecutarse de inmediato o permanecer inactiva durante meses, esperando un activador. Las cargas útiles varían desde ransomware dirigido a servidores de bases de datos históricas (historian) hasta bombas lógicas diseñadas para alterar la lógica de escalera (ladder logic) del PLC en un momento preciso, o puertas traseras persistentes que permiten el reconocimiento a largo plazo.

Construyendo una política sólida de control de dispositivos USB para entornos industriales

Una política de控制 de dispositivos USB es el documento de gobernanza fundamental que define qué dispositivos se pueden usar, bajo qué condiciones, por quién y con qué requisitos de seguridad. Para las organizaciones que operan infraestructura de OT, esta política debe abordar tanto los elementos orientados a TI de la administración de soportes extraíbles como las limitaciones únicas de los entornos operativos donde los ciclos de parcheo se miden en años y el tiempo de inactividad conlleva consecuencias de seguridad física.

Elementos clave de una política de seguridad USB eficaz

Política de seguridad USB para empleados: lo que las organizaciones industriales deben exigir

Una política que existe solo en papel no proporciona protección. La seguridad USB efectiva para entornos industriales requiere mecanismos de cumplimiento que sean prácticos dentro del contexto operativo, lo que significa que no deben crear barreras que hagan que los trabajadores busquen alternativas informales, lo cual representa en sí mismo un riesgo significativo.

Principios prácticos de cumplimiento

Nunca use dispositivos USB personales en ningún sistema conectado a OT. Todo el almacenamiento extraíble debe ser emitido por la empresa, estar registrado y cifrado con cifrado a nivel de hardware. Esto se aplica por igual a los técnicos de campo, operadores de salas de control y contratistas visitantes.

El escaneo antes de la inserción no es negociable. Cada dispositivo USB debe pasar por una estación de escaneo aprobada antes de usarse en cualquier activo industrial. La estación de escaneo debe utilizar un sistema dedicado no conectado a la red de producción, ejecutando software de seguridad con inteligencia de amenazas específica de OT.

Los puertos USB deben estar deshabilitados física o lógicamente de forma predeterminada. Habilite los puertos únicamente cuando exista una necesidad operativa documentada, a través de un proceso de gestión de cambios que incluya la aprobación del supervisor y el registro correspondiente.

La capacitación debe ir más allá de la concientización. Los empleados deben comprender los escenarios de ataque específicos relevantes para su función, no solo la concientización genérica sobre ciberseguridad. Un técnico de mantenimiento necesita saber cómo se ve una unidad modificada para atacar (weaponized) y qué hacer si encuentra un dispositivo sin identificar.

Los dispositivos de proveedores y contratistas requieren verificación independiente. Nunca asuma que el dispositivo de un proveedor está limpio. Exija a los proveedores que registren y escaneen previamente los soportes antes de su llegada, y verifique el cumplimiento en el sitio antes de que cualquier dispositivo toque un sistema de producción.

Software de control de dispositivos USB: cumplimiento técnico para entornos de OT

La política sin cumplimiento técnico es insuficiente. El software de control de dispositivos USB proporciona la capa de automatización y cumplimiento en tiempo real que hace que las políticas sean operativas en lugar de aspiracionales. Para los entornos de OT, los requisitos van significativamente más allá de lo que proporcionan las herramientas estándar de gestión de endpoints centradas en TI.

Capacidades críticas para el control de USB de grado OT

La capacidad de permitir únicamente dispositivos prerregistrados identificados por ID de proveedor, ID de producto y número de serie, y no solo por clase de dispositivo. Esto evita que las categorías de dispositivos aprobados sean explotadas al sustituir un dispositivo diferente que presenta el mismo identificador de clase. Listas de permisos de dispositivos por identidad de hardware:

Muchos activos de OT operan sin conectividad de red persistente a los sistemas de gestión centrales. El software de control de dispositivos USB para entornos industriales debe aplicar la política de forma local, incluso cuando esté desconectado del plano de gestión. Cumplimiento de políticas fuera de línea:

Para entornos donde los datos se pueden leer desde el soporte pero nunca escribir en él, obligar el modo de solo lectura en todo el almacenamiento USB evita la exfiltración de datos al tiempo que permite los flujos de trabajo de importación de datos. Cumplimiento de solo lectura:

Registrar automáticamente el contenido de los archivos transferidos hacia o desde dispositivos USB proporciona capacidad forense y respalda la investigación de incidentes sin requerir el monitoreo en tiempo real de todos los endpoints. Copia de sombra y registro de archivos:

El software de control de dispositivos debe integrarse con el inventario de activos de OT para garantizar que solo los dispositivos autorizados puedan conectarse a activos específicos, no solo a cualquier activo de la red. Integración con el inventario de activos:

Una parte significativa de la infraestructura de OT se ejecuta en Windows XP, Windows 7 o entornos RTOS propietarios. El software de control USB debe ser compatible con estos sistemas operativos, algo que las herramientas de TI empresariales convencionales frecuentemente no hacen. Soporte para sistemas heredados:

Los sistemas de OT que ejecutan funciones de control en tiempo real no pueden tolerar la sobrecarga de CPU o el consumo de memoria que imponen algunas herramientas de seguridad de endpoints. Las soluciones diseñadas para OT deben ser ligeras y no disruptivas para las operaciones en tiempo real. Impacto mínimo en el rendimiento:

El papel de los quioscos de escaneo de USB en la protección de ICS y SCADA

Uno de los controles físicos más efectivos en la protección contra malware por USB para sistemas SCADA es el quiosco de escaneo dedicado, una estación de trabajo independiente y robustecida ubicada en el punto de entrada de la zona de OT que sirve como puesto de control obligatorio para todos los soportes extraíbles.

Cómo funciona un quiosco de escaneo en la práctica

Un técnico que llega al sitio con una unidad USB para una actualización de firmware presenta el dispositivo en el quiosco antes de ingresar al piso de la planta. El quiosco escanea la unidad comparándola con múltiples fuentes de inteligencia de amenazas, verifica la identidad de hardware del dispositivo contra la lista de permisos de la instalación, registra el resultado del escaneo y otorga un token de autorización por tiempo limitado o marca el dispositivo para cuarentena. Todo el proceso toma menos de dos minutos y genera un registro auditable.

Las implementaciones más avanzadas se integran con los sistemas de control de acceso: un dispositivo que no supera el escaneo no se puede utilizar porque el puerto al que se conectaría permanece bloqueado físicamente hasta que se emita una autorización válida. Esto cierra la brecha entre la política y la realidad física.

Requisitos del quiosco de escaneo para entornos de OT

Impulsores regulatorios: lo que exigen los estándares para la seguridad de soportes extraíbles

El control de dispositivos USB no es solo una buena práctica, es un requisito de cumplimiento bajo múltiples marcos regulatorios que gobiernan la infraestructura crítica y las operaciones industriales. Comprender estos requisitos ayuda a las organizaciones a crear políticas que satisfagan múltiples marcos de auditoría simultáneamente.

Buenas prácticas: un enfoque de capas para la protección contra malware en USB

Los programas de seguridad USB más resilientes en entornos industriales se basan en la defensa en profundidad: múltiples controles superpuestos que brindan protección incluso cuando fallan los controles individuales. Aquí hay un marco de capas que las organizaciones pueden utilizar como punto de partida:

Capa 1 - Gobernanza y política

• Establecer una política formal de seguridad USB que cubra a todo el personal, contratistas y proveedores con acceso a OT.

• Definir un proceso claro de registro y aprobación de dispositivos para todos los soportes extraíbles utilizados en activos conectados a OT.

• Incluir requisitos de seguridad USB en todos los acuerdos con proveedores y contratistas, con derechos de auditoría.

Capa 2 - Controles físicos

• Implementar bloqueadores de puertos USB en activos donde nunca se requieran soportes extraíbles.

• Instalar quioscos de escaneo en todos los puntos de entrada a las zonas de OT, integrados con el control de acceso siempre que sea posible.

• Utilizar sellos de seguridad que evidencien manipulación en los puertos USB que deben permanecer sin uso.

Capa 3 - Cumplimiento técnico

• Desplegar software de control de dispositivos USB que aplique listas de permisos por identidad de hardware en todos los endpoints de OT.

• Implementar el cumplimiento de solo lectura cuando la capacidad de escritura no sea necesaria operativamente.

• Habilitar el registro de copia de sombra para todas las transferencias de archivos desde/hacia soportes extraíbles.

• Integrar los registros de actividad de USB con el Centro de Operaciones de Seguridad (SOC) de OT para alertas en tiempo real.

Capa 4 - Factores humanos

• Realizar capacitaciones basadas en escenarios que simulen situaciones reales de ataque basadas en USB.

• Establecer un procedimiento de reporte claro para dispositivos encontrados o sospechosos.

• Implementar una cultura de reporte sin repercusiones penales para garantizar que los empleados informen sobre incidentes sin temor a represalias.

Capa 5 - Detección y respuesta

• Monitorear los registros de actividad de USB en busca de patrones anómalos, transferencias de gran volumen, horarios inusuales o dispositivos no registrados.

• Incluir escenarios de incidentes de origen USB en ejercicios de simulación de mesa (tabletop) y planificación de respuesta a incidentes.

• Establecer un proceso documentado para aislar e investigar de forma forense los activos que se sospecione que están infectados.

Cómo apoya Shieldworkz a las organizaciones en la protección de entornos USB industriales

Shieldworkz aporta una profunda experiencia en tecnología operativa al desafío de la seguridad USB, comprendiendo no solo la tecnología, sino también las realidades operativas que hacen que los enfoques estándar de seguridad de TI sean insuficientes para los entornos industriales. Nuestro enfoque se construye en torno a lo que funciona en el campo, no solo a lo que se ve bien en la documentación de cumplimiento.

• Realizamos evaluaciones exhaustivas de sus patrones de uso de USB actuales, exposición de puertos y brechas de políticas en todo su entorno de OT, identificando los riesgos específicos que son más críticos para su contexto operativo. Evaluación de riesgos de USB específica para OT:

• Nuestro equipo diseña y documenta una política de seguridad USB para empleados y contratistas que sea operativamente realista, aplicable y alineada con los marcos regulatorios aplicables a su sector industrial. Desarrollo de políticas de control de dispositivos USB:

• Evaluamos, seleccionamos y desplegamos soluciones de software de control de dispositivos USB que cumplan con los requisitos específicos de su entorno de OT, incluyendo soporte para sistemas heredados, cumplimiento fuera de línea e integración con las plataformas de gestión de activos de OT existentes. Selección y despliegue de software de control de dispositivos USB:

• Diseñamos e implementamos infraestructura de quioscos de escaneo dedicados en los puntos de entrada de las zonas de OT, con fuentes de inteligencia de amenazas específicas para OT e integración con sistemas de control de acceso cuando corresponda. Implementación de quioscos de escaneo de USB:

• Alineamos sus controles de seguridad USB con los marcos de trabajo aplicables, incluyendo NERC CIP, IEC 62443, NIST SP 800-82 y estándares específicos del sector, garantizando que su programa cumpla con los requisitos de auditoría al tiempo que entrega un valor de seguridad real. Alineación con el cumplimiento regulatorio:

• Desarrollamos y entregamos programas de capacitación basados en escenarios adaptados a las funciones específicas y perfiles de riesgo de su personal de OT, desde operadores de salas de control hasta técnicos de campo y personal de proveedores. Programas de capacitación para el personal operativo:

• Shieldworkz proporciona un monitoreo continuo de la actividad relacionada con USB dentro de su entorno de OT, con actualizaciones de inteligencia de amenazas que mantienen sus capacidades de detección vigentes frente a las cambiantes campañas de malware dirigidas a ICS. Monitoreo continuo e inteligencia de amenazas:

• En caso de sospecha de un incidente con origen en USB, nuestro equipo de respuesta a incidentes industriales proporciona soporte de investigación y recuperación rápido y seguro para OT, preservando la continuidad operativa mientras se elimina la amenaza. Respuesta a incidentes para amenazas de origen USB:

Conclusión: El costo de la inacción se mide en tiempo de inactividad operativa

La amenaza que viaja en una unidad USB no cuesta nada para ser desplegada y puede causar millones en daños. Para las organizaciones industriales, las consecuencias se extienden más allá de las pérdidas financieras a la interrupción operativa, incidentes de seguridad física, sanciones regulatorias y daños a la reputación que requieren años para recuperarse.

Un programa de seguridad USB maduro, basado en una política clara, cumplimiento técnico, educación de los empleados y monitoreo continuo, cierra uno de los puntos de entrada explotados con más frecuencia en la ciberseguridad de OT. No es la inversión más glamorosa en un portafolio de seguridad industrial, pero es consistentemente una de las que ofrece mayor retorno.

Las organizaciones que han sufrido los incidentes de origen USB más dañinos no carecían necesariamente de recursos o sofisticación. Muchas tenían inversiones en seguridad de red que superaban con creces lo que se gastaba en controles de soportes extraíbles. La brecha entre la seguridad orientada a TI y la realidad operativa del uso de USB en el piso de la planta fue lo que explotaron los atacantes.

Abordar esa brecha es donde se enfoca Shieldworkz, uniendo el espacio entre la política y el cumplimiento, entre la concientización y el cambio de comportamiento, y entre las mejores prácticas teóricas y las demandas operativas de mantener la infraestructura crítica funcionando de manera segura.

Reserve una consulta gratuita con nuestros expertos

¿Está su entorno de OT protegido contra amenazas transmitidas por USB? Nuestros especialistas en ciberseguridad industrial ofrecen una consulta sin compromiso para revisar su postura de seguridad USB actual, identificar brechas y delinear un camino práctico hacia una protección más sólida, sin interrumpir sus operaciones.

Recursos adicionales:

Lista de verificación para la evaluación de riesgos de OT/ICS basada en IEC 62443 aquí
Lista de verificación de seguridad operativa para ciberseguridad en OT / ICS aquí
Paquete de plantillas de políticas de ciberseguridad para OT/ICS aquí
Guías de remediación aquí