Die größten Sicherheitslücken seit 1995

Im April 2024 gab eine Gruppe namens Blackjack bekannt, sie habe Moscollector lahmgelegt, ein Moskauer Unternehmen, das das unterirdische Wasser- und Abwassernetz der Stadt überwacht. Die Malware, die die Angreifer Fuxnet nannten, lief auf den Sensor-Gateways des Netzwerks – kleinen Linux-Computern, die über einen seriellen Standard namens M-Bus Messwerte von Tausenden unterirdischen Sensoren erfassen. Auf jedem Gateway unterbrach sie den Fernzugriff, löschte Teile des Dateisystems und überschrieb den Flash-Speicher so lange, bis dieser ausfiel.

Außerdem überflutete sie die M-Bus-Verkabelung mit Datenmüll, in der Hoffnung, auch die Sensoren zu beschädigen. Wie Blackjack ursprünglich eindringen konnte, ist nicht dokumentiert; die Gruppe gab an, seit Juni 2023 Zugriff zu haben. Die Angreifer behaupteten, 87.000 Sensoren zerstört und 30 Terabyte Daten gelöscht zu haben; das Sicherheitsunternehmen Claroty, das die Malware und die durchgesickerten Daten analysierte, schätzt, dass nur etwas mehr als 500 Gateways unbrauchbar gemacht wurden und die Sensoren wahrscheinlich intakt blieben. Claroty berichtet, Blackjack stehe vermutlich dem ukrainischen Geheimdienst nahe, was jedoch keine Regierung bestätigt hat.

Im Januar 2024, während eines Winters mit Minusgraden, fiel in einer ukrainischen Stadt – Lviv, laut Dragos – in mehr als 600 Wohngebäuden fast zwei Tage lang die Heizung aus. Die Malware dahinter, später FrostyGoop genannt, ist ein kleines Programm, das über Modbus TCP mit den Heizungsreglern kommuniziert – ein einfaches, weit verbreitetes Protokoll, das Befehle über Port 502 sendet, meist ohne Passwort. Es las und änderte die Halteregister der Regler, also die Speicher für deren Einstellungen, und führte ein Downgrade ihrer Software durch, sodass sie ihren Status nicht mehr meldeten.

Dadurch hatten die Betreiber keinen klaren Überblick, während die Steuerungen mit falschen Werten arbeiteten. Dragos rekonstruiert den wahrscheinlichen Weg: Monate zuvor nutzten die Angreifer eine Schwachstelle in einem mit dem Internet verbundenen Router aus, richteten einen über Tor erreichbaren Webtunnel ein und stahlen Windows-Anmeldedaten; weil das Netzwerk flach war, waren die Steuerungen direkt erreichbar. Dragos schreibt den Angriff niemandem zu und verweist nur auf Verbindungen zu Adressen in Moskau während des Vorfalls.

Am 8. April 2022 versuchte die Gruppe Sandworm, einen Teil des ukrainischen Stromnetzes abzuschalten. Ihr Tool, von der Sicherheitsfirma ESET Industroyer2 getauft, war ein abgespeckter Nachfolger der Malware Industroyer aus dem Jahr 2016. Es nutzte nur ein einziges Industrieprotokoll, IEC 104, und enthielt die Adressen der Ziel-Umspannwerke sowie die Schaltbefehle direkt im Programm selbst, sodass es für einen bestimmten Energieversorger entwickelt worden war. Eine separate „Wiper“-Malware sollte gleichzeitig die Windows-, Linux- und Solaris-Server des Energieversorgers zerstören.

Wie die Angreifer zunächst eindrangen, ist nicht öffentlich bekannt, doch sie verfügten bereits über Administratorrechte: Sie verteilten die Malware über die Windows-Gruppenrichtlinien und richteten eine geplante Aufgabe ein, um sie noch am selben Abend auszuführen. CERT-UA, Ukraines Team für Cybervorfälle, gibt an, dass das Netzwerk bereits seit mindestens Februar 2022 kompromittiert war und dass der Angriff rechtzeitig gestoppt werden konnte – es kam zu keinem Ausfall. CERT-UA führt den Angriff auf Sandworm (UAC-0082) zurück; ESET kommt mit hoher Sicherheit zum selben Schluss.

PIPEDREAM ist ein Fall ohne Opfer. Anfang 2022 analysierten Dragos und Mandiant ein komplettes Angriffs-Toolkit – Dragos nannte es PIPEDREAM, Mandiant INCONTROLLER –, das eine staatlich unterstützte Gruppe gebaut hatte, um industrielle Steuerungen aufzuspüren und zu übernehmen. Es wurde entdeckt, bevor es je zum Einsatz kam. Am 13. April 2022 veröffentlichten vier US-Behörden eine gemeinsame Warnmeldung, AA22-103A. Nach Dragos’ Zählung ist es die siebte bekannte ICS-spezifische Schadsoftware und die erste, die vor einem Angriff entdeckt wurde.

Das Toolkit ist modular: Einige Teile fassen unter Windows Fuß und erhalten über einen signierten, aber fehlerhaften Treiber tiefen Zugriff, während andere die Industrieprotokolle CODESYS, Modbus, OPC UA und Omron FINS nutzen, um Steuerungen zu scannen, sich anzumelden, sie neu zu programmieren oder zum Absturz zu bringen. Es brachte Module für Geräte von Schneider Electric und Omron mit. Dragos geht mit hoher Sicherheit von einem staatlichen Entwickler aus und nennt ihn CHERNOVITE; ein Land wurde nicht genannt, und Mandiant bezeichnete die Verbindungen zu Russland als Indizien.

EKANS (das Wort „snake“ rückwärts gelesen) ist eine Ransomware, die 2020 auftauchte. Sie läuft auf gewöhnlichen Windows-Computern und kann daher die Steuerungen, die Maschinen antreiben, nicht umprogrammieren. Stattdessen zielt sie auf die Windows-PCs ab, die Bediener zur Überwachung und Steuerung einer Anlage nutzen: die als HMIs bezeichneten Bildschirme, die sogenannten Historian-Datenbanken und die Lizenzserver. Bevor sie deren Dateien verschlüsselt, beendet sie eine fest einprogrammierte Liste von Programmen, sodass die Dateien nicht mehr gesperrt sind.

Das Sicherheitsunternehmen FireEye stellte fest, dass diese Liste über 1.000 Prozesse ins Visier nimmt, darunter auch Industriesoftware von Herstellern wie General Electric und Honeywell. EKANS löscht zudem die von Windows gespeicherten Sicherungskopien. Wie die Angreifer ursprünglich eindrangen, wurde nie öffentlich bekannt; EKANS ist die Schadsoftware, die am Ende abgelegt wird. Weder eine Gruppe noch ein Staat wurde benannt. MITREs ATT&CK bringt unter Berufung auf Presseberichte eine EKANS-Infektion mit einem vorübergehenden Produktionsausfall in einem Honda-Werk im Juni 2020 in Verbindung.

Im Jahr 2017 gelangten Angreifer in das Sicherheitssystem einer petrochemischen Anlage im Nahen Osten – zu den unabhängigen Steuerungen, die einen Prozess in einen sicheren Zustand versetzen sollen, bevor er gefährlich wird. Die Malware, bekannt als TRISIS oder TRITON, war eigens für die Triconex-Steuerungen von Schneider Electric gebaut. Sie kommunizierte über TriStation, das undokumentierte Protokoll der Steuerungen, das die Angreifer rückentwickelt hatten, und schrieb eine versteckte Hintertür in den Speicher einer Steuerung, um deren Sicherheitslogik zu verändern.

Wie die Angreifer zunächst eindrangen, ist nicht bekannt; sie gelangten an den Arbeitsplatzrechner, von dem aus die Steuerungen programmiert werden, und führten dort ein Tool aus, das als Software des Herstellers getarnt war. Während der Aktion lösten einige Steuerungen eine Sicherheitsabschaltung aus und legten die Anlage für mehrere Tage lahm, wodurch die Malware entdeckt wurde. 2018 brachte FireEye den Angriff mit hoher Sicherheit mit dem russischen Staatsinstitut TsNIIKhM in Verbindung; die USA verhängten 2020 Sanktionen gegen diese Einrichtung. Dragos identifiziert den Betreiber als XENOTIME.

Am 17. Dezember 2016 fiel in Teilen von Kiew für etwa eine Stunde der Strom aus. Die dahinter stehende Malware, die 2017 analysiert wurde, wurde von ESET als Industroyer und von Dragos als CRASHOVERRIDE bezeichnet. Es handelte sich um die erste Malware, die darauf ausgelegt war, Netzausrüstung direkt zu steuern: Anstatt dass eine Person sich durch Fernsteuerungstools klicken musste, kommunizierten ihre eigenen Module über die Standardprotokolle des Netzes (IEC 60870-5-101, IEC 60870-5-104, IEC 61850 und OPC DA), um Leistungsschalter automatisch zu öffnen. Wie sich die Angreifer ursprünglich Zugang verschafft hatten, konnte nie geklärt werden.

Ein Launcher löste die Schadlast zu einem festgelegten Zeitpunkt aus; ein bis zwei Stunden später zerstörte ein Wiper Dateien und Einstellungen, um die Wiederherstellung zu verlangsamen, und ein separates Tool konnte Siemens-SIPROTEC-Schutzrelais deaktivieren. Die US-Regierung schreibt den Angriff Sandworm (dem russischen GRU) zu; Dragos identifiziert die Betreiber als ELECTRUM. Im Jahr 2017 stellte ESET keine Code-Überschneidungen mit BlackEnergy fest und nahm keine Zuordnung vor.

Am 23. Dezember 2015 verloren drei ukrainische regionale Energieversorger innerhalb von etwa einer halben Stunde nacheinander die Kontrolle über ihre Stromnetze, wodurch rund 225.000 Kunden ohne Strom waren (ESET bezifferte die Zahl auf etwa 230.000 Menschen). Es handelt sich um den ersten Stromausfall, bei dem nachweislich ein Cyberangriff die Ursache war. Monate zuvor hatten Spear-Phishing-E-Mails mit makrohaltigen Office-Dateien die BlackEnergy-Malware in den Büronetzwerken eingeschleust.

Die Angreifer erlangten Zugangsdaten und nutzten anschließend die VPN- und Fernsteuerungstools der Energieversorger selbst, um Zugriff auf die SCADA-Systeme zu erhalten. Dort öffneten sie von Hand Leistungsschalter in mehr als 50 Umspannwerken. Sie deaktivierten Seriell-zu-Ethernet-Konverter, löschten PCs mit KillDisk und überlasteten ein Callcenter, sodass die Stromversorgung erst nach etwa sechs Stunden vor Ort wiederhergestellt werden konnte. Die US-Regierung schrieb den Angriff später Sandworm zu, einer Einheit des russischen GRU.

Havex, das im Juni 2014 bekannt wurde und auch unter den Bezeichnungen Dragonfly oder Energetic Bear verfolgt wurde, war eine Spionagekampagne gegen den Energiesektor. Die Opfer wurden auf drei Wegen infiziert: über Phishing-E-Mails mit manipulierten PDF-Dateien, über Websites, die so manipuliert waren, dass sie Besucher infizierten, und vor allem über gehackte Download-Seiten von mindestens drei kleinen Herstellern von Industriesoftware, deren Installationsprogramme durch Versionen ersetzt wurden, die ebenfalls Havex enthielten. Kaspersky zählte weltweit mehr als 2.800 Opfer.

Havex war eine Hintertür, die eine Verbindung zum Server herstellte und zusätzliche Module herunterlud. Ein Modul durchsuchte das Netzwerk nach OPC-Servern – der Windows-Middleware, die es Software ermöglicht, Live-Daten von vielen Steuerungen auszulesen – und kopierte deren Details an die Angreifer zurück; allein das Scannen führte bei einigen Servern zum Absturz. Es stahl Informationen, verfügte jedoch über keine Sabotage-Funktion. Im Jahr 2014 waren sich die Analysten über die Herkunft uneinig; im Jahr 2022 schrieb die US-Regierung die Kampagne dem russischen FSB zu.

In seinem Jahresbericht 2014 beschrieb das Bundesamt für Sicherheit in der Informationstechnik (BSI) einen gezielten Angriff auf ein Stahlwerk, der erheblichen Sachschaden verursachte. Die Behörde nannte weder den Namen des Unternehmens noch den Standort, das Datum oder den Angreifer. Die Angreifer nutzten Spear-Phishing und Social Engineering, um in das Büronetzwerk einzudringen, und drangen dann Schritt für Schritt in die Produktionsnetzwerke vor, über die das Werk gesteuert wird.

Danach fielen einzelne Steuerungskomponenten und ganze Anlagen immer häufiger aus, bis ein Hochofen nicht mehr kontrolliert abgeschaltet werden konnte und in einem undefinierten Zustand zurückblieb, was laut BSI massive Schäden verursachte. Die Behörde nannte weder Produkte noch Protokolle oder Malware, und es wurden keine Kostenangaben veröffentlicht. Sie stufte die Angreifer als sehr versiert ein, mit detaillierten Kenntnissen der Steuerungssysteme, gab jedoch keinerlei Hinweise auf die Identität der Angreifer.

Stuxnet, das im Juni 2010 entdeckt wurde, ist die erste bekannte Malware, die physische Maschinen beschädigt hat. Es verbreitete sich auf etwa 100.000 Computer in mehr als 150 Ländern, war jedoch darauf ausgelegt, einem einzigen Ziel Schaden zuzufügen: einer iranischen Urananreicherungsanlage, die Forscher mit Natanz in Verbindung brachten. Da das Steuerungsnetzwerk dieser Anlage keine Internetverbindung hatte, wurde der Wurm höchstwahrscheinlich auf einem Wechseldatenträger eingeschleust und verbreitete sich dann eigenständig mithilfe von vier unbekannten Windows-Sicherheitslücken sowie den Projektdateien der Siemens-Engineering-Software Step 7.

Auf den Steuerungen lud er versteckten Code auf Siemens-S7-300-SPSen und trieb die Motoren der Zentrifugen weit über ihre normale Drehzahl hinaus an, während er normale Messwerte vortäuschte, sodass die Bediener nichts Ungewöhnliches bemerkten. Ein Institut schätzte, dass etwa 1.000 der 8.692 installierten Zentrifugen außer Betrieb gesetzt wurden, obwohl der Zusammenhang mit Stuxnet nicht bewiesen ist. Keine Regierung hat bestätigt, wer den Wurm entwickelt hat; Presseberichte beschreiben eine gemeinsame Operation der USA und Israels, doch diese Zuschreibung ist nicht offiziell.