camgoering/solarview-ics-vulnerability-analysisModelo de ameaças e análise de vulnerabilidades do Contec SolarView Compact (CVE-2022-29303)
Uma análise de ameaças ciberfísicas do incidente SolarView Compact / botnet Mirai, no qual atacantes exploraram a CVE-2022-29303 para comprometer aproximadamente 800 dispositivos de monitoramento solar em usinas fotovoltaicas japonesas.
Projeto de curso para ECE 362 — Sistemas Ciberfísicos, Universidade do Tennessee, Knoxville · Primavera de 2026 Equipe: Matthew Ferrari, Camden Reed, Camden Goering
O Contec SolarView Compact é um dispositivo Linux de registro de dados que fica entre os inversores de um site solar e a internet — ele consulta a telemetria dos inversores via Modbus/RS-485 e a encaminha para a nuvem do fornecedor e painéis dos operadores. Estruturalmente, é a ponte entre a internet pública e o segmento OT de uma instalação de geração.
A CVE-2022-29303 é uma injeção remota de comandos não autenticada no manipulador conf_mail.php do dispositivo, que passa um parâmetro de usuário não sanitizado para uma invocação de shell. Um único HTTP POST resulta em execução de código sem exigir credenciais.
| CVSS v3.1 | 9.8 Crítico — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Divulgação → correção | Maio de 2022 → 18 de julho de 2023 (~14 meses) |
| Dispositivos afetados | ~800 sequestrados; mais de 600 expostos à internet na divulgação, menos de um terço corrigidos |
| Uso observado | Botnet variante do Mirai; DDoS por aluguel e proxy para fraude bancária |
Os atacantes tinham acesso root em 800 dispositivos que faziam a ponte entre a internet e as redes OT solares — e os usaram para cometer fraude financeira. O acesso necessário para interromper a geração era o mesmo acesso que eles já possuíam.
Modelo de adversário. Dois perfis contra a mesma vulnerabilidade: Adversário A, financeiramente motivado e oportunista, tratando o site como um host IoT comprometido incidentalmente — este é o que foi realmente observado. Adversário B, alinhado a um estado e paciente, valorizando acesso silencioso e persistente ao plano de controle dos inversores para uma contingência futura. O modelo de ameaça visa a capacidade, não a campanha observada.
Decomposição STRIDE nas três zonas de confiança do dispositivo (internet pública, rede OT do site, nuvem do fornecedor) — incluindo a constatação de repúdio de que os operadores souberam do comprometimento por meio de relatórios externos, porque os dispositivos destinados a fornecer visibilidade eram os ativos comprometidos.
Cadeia de ataque MITRE ATT&CK para ICS: T0819 Explorar Aplicação Exposta ao Público → T0871 Execução via API → T0889 Modificar Programa → T0840/T0846 descoberta → T0866 movimento lateral. Os perfis de adversário divergem no Impacto: T0814 Negação de Serviço para A, T0831 Manipulação de Controle para B.
Avaliação de risco usando CVSS v3.1 e DREAD (agregado 8–9, impulsionado pela reprodutibilidade e pela descoberta indexável no Shodan), além de uma matriz qualitativa 5×5 de probabilidade × impacto colocando a ameaça no quadrante superior direito. A reclassificação ambiental eleva o Escopo para Alterado, uma vez que comprometer o dispositivo de monitoramento concede acesso a uma zona de confiança separada.
Defesas mapeadas para a Estrutura de Cibersegurança do NIST em todas as cinco funções. Controles de maior alavancagem: manter o dispositivo fora da internet pública e impor contratualmente SLAs de correção do fornecedor — a lacuna de 14 meses na correção foi a falha central.
Os principais impulsionadores de risco aqui não são exóticos: exposição não autenticada à internet, correção lenta do fornecedor e redes OT planas. Tampouco são as mitigações. A lacuna é que equipamentos de monitoramento de DER não têm sido historicamente tratados como infraestrutura crítica, apesar de estarem estruturalmente entre a internet pública e a rede física.
Projeto em equipe de três pessoas. Apresentei a vulnerabilidade e a parte do caminho de ataque da nossa apresentação em sala, cobrindo a injeção de comandos da CVE-2022-29303, os dados de exposição no Shodan e a atribuição ao Arsenal Depository. Contribuí com revisões do relatório final e com a análise de estrutura na qual o artigo se baseia.
Palo Alto Unit 42 (análise da campanha Mirai) · VulnCheck (exploração do SolarView) · NVD CVE-2022-29303 · Forescout Vedere Labs SUN:DOWN · NIST SP 800-82r3 · MITRE ATT&CK para ICS v14 · IEEE Std 1547-2018
