Die größten Sicherheitslücken

Im April 2024 gab eine Gruppe namens Blackjack bekannt, sie habe Moscollector lahmgelegt. Das Moskauer Unternehmen überwacht das unterirdische Wasser- und Abwassernetz der Stadt. Die Malware, die die Angreifer Fuxnet nannten, lief auf den Sensor-Gateways des Netzes. Diese kleinen Linux-Computer sammeln über einen seriellen Standard namens M-Bus die Messwerte von Tausenden unterirdischen Sensoren. Auf jedem Gateway unterbrach die Malware den Fernzugriff, löschte Teile des Dateisystems und überschrieb den Flash-Speicher, bis er ausfiel.

Außerdem überflutete sie die M-Bus-Verkabelung mit Datenmüll, in der Hoffnung, auch die Sensoren zu beschädigen. Wie Blackjack zuerst eindrang, ist nicht dokumentiert. Die Gruppe gab an, seit Juni 2023 Zugriff zu haben. Die Angreifer behaupteten, 87.000 Sensoren zerstört und 30 Terabyte Daten gelöscht zu haben. Das Sicherheitsunternehmen Claroty analysierte die Malware und die durchgesickerten Daten. Es schätzt, dass nur etwas mehr als 500 Gateways unbrauchbar gemacht wurden und die Sensoren wahrscheinlich intakt blieben. Claroty berichtet, Blackjack stehe vermutlich dem ukrainischen Geheimdienst nahe. Keine Regierung hat das bestätigt.

Im Januar 2024 fiel bei Minusgraden in mehr als 600 Wohngebäuden einer ukrainischen Stadt fast zwei Tage lang die Heizung aus. Laut Dragos war es Lwiw. Die Malware hinter dem Ausfall, später FrostyGoop genannt, ist ein kleines Programm, das über Modbus TCP mit den Heizungsreglern kommuniziert. Dieses einfache, weit verbreitete Protokoll sendet Befehle über Port 502, meist ohne Passwort. FrostyGoop las und änderte die Halteregister der Regler, also die Speicher für ihre Einstellungen. Außerdem setzte es ihre Software auf eine ältere Version zurück, sodass sie ihren Status nicht mehr melden konnten.

Dadurch hatten die Betreiber keinen klaren Überblick, während die Regler mit falschen Werten arbeiteten. Dragos rekonstruiert den wahrscheinlichen Einstieg. Monate zuvor nutzten die Angreifer eine Schwachstelle in einem mit dem Internet verbundenen Router aus. Sie richteten einen über Tor erreichbaren Webtunnel ein und stahlen Windows-Anmeldedaten. Weil das Netzwerk flach war und nichts die Regler abschottete, waren sie direkt erreichbar. Dragos schreibt den Angriff niemandem zu und verweist nur auf Verbindungen zu Adressen in Moskau während des Vorfalls.

Am 8. April 2022 versuchte die Gruppe Sandworm, einen Teil des ukrainischen Stromnetzes abzuschalten. Ihr Tool, von der Sicherheitsfirma ESET Industroyer2 getauft, war ein abgespeckter Nachfolger der Malware Industroyer von 2016. Es nutzte nur ein Industrieprotokoll, IEC 104. Die Adressen der Ziel-Umspannwerke und die Schaltbefehle steckten direkt im Programm. Es war also für einen bestimmten Energieversorger gebaut. Eine separate „Wiper“-Malware sollte gleichzeitig die Windows-, Linux- und Solaris-Server des Energieversorgers zerstören.

Wie die Angreifer zuerst eindrangen, ist nicht öffentlich bekannt. Sie hatten aber schon Administratorrechte und verteilten die Malware über die Windows-Gruppenrichtlinien. Eine geplante Aufgabe sollte sie am selben Abend starten. CERT-UA, das ukrainische Team für Cybervorfälle, gibt an, dass das Netzwerk mindestens seit Februar 2022 kompromittiert war. Laut CERT-UA wurde der Angriff rechtzeitig gestoppt und es kam zu keinem Ausfall. CERT-UA führt den Angriff auf Sandworm (UAC-0082) zurück; ESET kommt mit hoher Sicherheit zum selben Schluss.

PIPEDREAM ist ein Fall ohne Opfer. Anfang 2022 analysierten die Sicherheitsfirmen Dragos und Mandiant ein komplettes Angriffs-Toolkit. Eine staatlich unterstützte Gruppe hatte es gebaut, um industrielle Steuerungen aufzuspüren und zu übernehmen. Dragos nannte es PIPEDREAM, Mandiant INCONTROLLER. Am 13. April 2022 veröffentlichten vier US-Behörden eine gemeinsame Warnmeldung, AA22-103A. Nach Dragos’ Zählung ist es die siebte bekannte ICS-spezifische Schadsoftware und die erste, die vor einem Angriff entdeckt wurde.

Das Toolkit ist modular. Einige Teile fassen unter Windows Fuß und erhalten über einen signierten, aber fehlerhaften Treiber tiefen Zugriff. Andere nutzen die Industrieprotokolle CODESYS, Modbus, OPC UA und Omron FINS. Damit können sie Steuerungen scannen, sich dort anmelden, sie umprogrammieren oder zum Absturz bringen. Das Toolkit brachte Module für Geräte von Schneider Electric und Omron mit. Dragos geht mit hoher Sicherheit von einem staatlichen Entwickler aus und nennt ihn CHERNOVITE. Ein Land wurde nicht genannt. Mandiant bezeichnete die Verbindungen zu Russland als Indizien.

EKANS (das Wort „snake“ rückwärts) ist eine Ransomware, die 2020 auftauchte. Sie läuft auf gewöhnlichen Windows-Computern. Die Steuerungen der Maschinen kann sie daher nicht umprogrammieren. Stattdessen greift sie die Windows-PCs an, mit denen Bediener eine Anlage überwachen und steuern. Dazu gehören Bedienoberflächen (HMIs), Verlaufsdatenbanken (Historians) und Lizenzserver. Bevor sie die Dateien verschlüsselt, beendet sie eine fest einprogrammierte Liste von Programmen. So sind die Dateien nicht mehr gesperrt.

Laut dem Sicherheitsunternehmen FireEye umfasst die Liste über 1.000 Prozesse, darunter Industriesoftware von Herstellern wie General Electric und Honeywell. EKANS löscht zudem die von Windows gespeicherten Sicherungskopien. Wie die Angreifer zuerst eindrangen, wurde nie öffentlich bekannt. EKANS ist die Schadsoftware, die am Ende abgelegt wird. Weder eine Gruppe noch ein Staat wurde benannt. MITREs ATT&CK bringt unter Berufung auf Presseberichte eine EKANS-Infektion mit einem vorübergehenden Produktionsausfall in einem Honda-Werk im Juni 2020 in Verbindung.

2017 gelangten Angreifer in das Sicherheitssystem einer petrochemischen Anlage im Nahen Osten. Seine unabhängigen Steuerungen sollen einen Prozess in einen sicheren Zustand versetzen, bevor er gefährlich wird. Die Malware, bekannt als TRISIS oder TRITON, war eigens für die Triconex-Steuerungen von Schneider Electric gebaut. Sie nutzte TriStation, das undokumentierte Protokoll der Steuerungen, das die Angreifer rückentwickelt hatten. Sie schrieb eine versteckte Hintertür in den Speicher einer Steuerung, um deren Sicherheitslogik zu verändern.

Wie die Angreifer zuerst eindrangen, haben US-Behörden nicht mitgeteilt. Im Netz der Anlage erreichten sie den Arbeitsplatzrechner, von dem aus die Steuerungen programmiert werden. Dort starteten sie ein Tool, das als Software des Herstellers getarnt war. Während der Aktion lösten einige Steuerungen eine Sicherheitsabschaltung aus und legten die Anlage mehrere Tage lang still. So wurde die Malware entdeckt. FireEye sah 2018 mit hoher Sicherheit eine Verbindung zum russischen Staatsinstitut TsNIIKhM. Die USA verhängten 2020 Sanktionen gegen das Institut. Dragos führt die Gruppe dahinter unter dem Namen XENOTIME.

Am 17. Dezember 2016 fiel in Teilen von Kiew etwa eine Stunde lang der Strom aus. Die Malware dahinter wurde 2017 analysiert. ESET nannte sie Industroyer, Dragos CRASHOVERRIDE. Es war die erste Malware, die Netztechnik direkt ansteuerte. Statt eines Menschen, der sich durch Fernsteuerungstools klickte, öffneten ihre eigenen Module die Leistungsschalter automatisch. Dafür nutzten sie die Standardprotokolle des Netzes: IEC 60870-5-101, IEC 60870-5-104, IEC 61850 und OPC DA. Wie die Angreifer anfangs eindrangen, wurde nie geklärt.

Ein Launcher startete den Schadcode zu einem festgelegten Zeitpunkt. Ein bis zwei Stunden später zerstörte ein Wiper Dateien und Einstellungen, um die Wiederherstellung zu verlangsamen. Ein separates Tool konnte Siemens-SIPROTEC-Schutzrelais deaktivieren. Die US-Regierung schreibt den Angriff Sandworm (dem russischen GRU) zu. Dragos führt die Gruppe dahinter unter dem Namen ELECTRUM. ESET fand 2017 keine Code-Überschneidungen mit BlackEnergy und schrieb den Angriff niemandem zu.

Am 23. Dezember 2015 verloren drei regionale Energieversorger in der Ukraine innerhalb von etwa einer halben Stunde die Kontrolle über ihre Stromnetze. Rund 225.000 Kunden waren ohne Strom (ESET zählte etwa 230.000 Menschen). Es ist der erste bestätigte Stromausfall durch einen Cyberangriff. Monate zuvor hatten Spear-Phishing-E-Mails mit makrohaltigen Office-Dateien die BlackEnergy-Malware in die Büronetze eingeschleust.

Die Angreifer sammelten Zugangsdaten und gelangten dann mit den eigenen VPN- und Fernsteuerungstools der Versorger in die SCADA-Systeme. Dort öffneten sie von Hand Leistungsschalter in mehr als 50 Umspannwerken. Sie deaktivierten Seriell-zu-Ethernet-Konverter, löschten PCs mit KillDisk und überlasteten ein Callcenter. Deshalb musste die Stromversorgung vor Ort wiederhergestellt werden, was etwa sechs Stunden dauerte. Die US-Regierung schrieb den Angriff später Sandworm zu, einer Einheit des russischen GRU.

Havex war eine Spionagekampagne gegen den Energiesektor. Sie wurde im Juni 2014 bekannt und wird auch unter den Namen Dragonfly oder Energetic Bear verfolgt. Ihre Opfer erreichte sie auf drei Wegen: über Phishing-E-Mails mit manipulierten PDF-Dateien, über präparierte Websites, die Besucher infizierten, und vor allem über gehackte Download-Seiten. Bei mindestens drei kleinen Herstellern von Industriesoftware wurden die Installationsprogramme durch Versionen ersetzt, die zusätzlich Havex enthielten. Kaspersky zählte weltweit mehr als 2.800 Opfer.

Havex war eine Hintertür, die sich bei den Angreifern meldete und weitere Module nachlud. Ein Modul suchte im Netzwerk nach OPC-Servern, also nach der Windows-Middleware, mit der Programme Live-Daten vieler Steuerungen lesen können. Es schickte die Angaben zu diesen Servern an die Angreifer. Schon das Scannen ließ einige Server abstürzen. Havex stahl Informationen, hatte aber keine Sabotagefunktion. 2014 waren sich Analysten über die Herkunft uneinig. 2022 schrieb die US-Regierung die Kampagne dem russischen FSB zu.

Stuxnet wurde im Juni 2010 entdeckt und ist die erste bekannte Malware, die physische Maschinen beschädigt hat. Der Wurm verbreitete sich auf etwa 100.000 Computer in mehr als 150 Ländern. Schaden sollte er aber nur einem Ziel: einer iranischen Urananreicherungsanlage, die Forscher mit Natanz in Verbindung brachten. Weil das Steuerungsnetz der Anlage keine Internetverbindung hatte, wurde der Wurm höchstwahrscheinlich auf einem Wechseldatenträger eingeschleust. Danach verbreitete er sich selbstständig über vier unbekannte Windows-Lücken und die Projektdateien der Siemens-Engineering-Software Step 7.

Er lud versteckten Code auf Siemens-S7-300-Steuerungen und ließ die Motoren der Zentrifugen weit außerhalb ihres normalen Drehzahlbereichs laufen. Gleichzeitig spielte er den Bedienern normale Messwerte vor, sodass sie nichts bemerkten. Ein Institut schätzte, dass etwa 1.000 der 8.692 installierten Zentrifugen außer Betrieb genommen wurden. Der Zusammenhang mit Stuxnet ist nicht bewiesen. Presseberichte beschreiben eine gemeinsame Operation der USA und Israels. Keine Regierung hat bestätigt, wer den Wurm entwickelt hat.