Anzeige
Anzeige
Beitrag drucken

Bessere Verteidigung gegen industrielle Schadsoftware

Seit der Entdeckung von Stuxnet im Jahr 2010 gab es bei industrieller Schadsoftware einige evolutionäre technologische Sprünge, aber auch massive Schäden sowohl bei Unternehmen als auch bei staatlichen Einrichtungen. Malware für ICS (Industriesteuerungen) ist nicht mehr länger eine Waffe, die nur Insidern zur Verfügung steht und die lediglich zur Wirtschaftsspionage genutzt wird.

 (Bild: Limes Security GmbH)

(Bild: Limes Security GmbH)

An aktuellen Beispielen wie LogicLocker (Ransomware), Industroyer aber auch Trisis (Triton/Hatman) lässt sich ablesen, dass Angreifer heute auch Wirtschaftssabotage im Sinn haben. Unterstützt wird die These von den zurückliegenden Vorfällen rund um das ukrainische Stromnetz Mitte Dezember 2015. Leider sind diese Angriffe immer erfolgreicher, was nicht nur daran liegt, dass sie immer ausgefeilter und zielgerichteter erfolgen, sondern auch, weil viele Hersteller und Unternehmen es versäumen in die Sicherheit der Systeme zu investieren.

Sabotage-Malware – ein aktueller Überblick

Am Anfang stand eine Software, die dafür entwickelt wurde, die Urananreicherung in Zentrifugen zu sabotieren. Mit Stuxnet wurde für die Welt der Industriesteuerung im Grunde genommen die Büchse der Pandora geöffnet. Wie einschneidend dieses Ereignis für die Branche war, ist daran erkennbar, dass alle nachfolgenden Bedrohungen mit Stuxnet verglichen werden. Die Malware zeigte, dass Automatisierungssysteme ähnlich durch Softwaremanipulationen gefährdet sein können wie IT-Systeme. Eine direkte Konsequenz war, dass nach dem Aufdecken von Stuxnet, Sicherheitsexperten auf der ganzen Welt begannen, gezielt nach Schwachstellen in Industriesoftware zu suchen. Die Schwachstellenmeldungen stiegen daraufhin sprunghaft an. Eine beliebte Quelle, die auf unsichere, direkt am Internet betriebene Industriesysteme hinweist, ist noch heute die Webseite https://www.shodan.io/explore/category/industrial-control-systems . Die erste Ransomware, die nachweislich auch Industriesteuerungen in Geiselhaft nehmen kann, ist LogicLocker. Diese wurde als Proof-of-Concept entwickelt und ist bisher noch nicht im Feld aufgetaucht, deshalb ist es schwer zu sagen, wie gefährlich diese Bedrohung wirklich ist.

Industroyer

Anders verhält es sich mit Industroyer. Die Schadsoftware löschte alle Registry-Keys, die mit bestimmten System-Services in Verbindung stehen, überschreibt bestimmte ICS-Konfigurationsdateien auf den Festplatten und manipuliert Daten auf Netzwerklaufwerken, die mit einer bestimmten Controller-Software in Verbindung stehen. Darüber hinaus werden auch gewöhnliche Windowsdaten überschrieben. Die Schadsoftware war auch in der Lage eine Konfigurationsdatei auszulesen, stoppte alle Master-Prozesse eines Energieautomatisierungssystems auf dem Host des Opfers, tarnte sich als neuer Master und löste autonom vier Arten von Schalthandlungen aus. Sie scheint außerdem für den Stromausfall in der Ukraine verantwortlich zu sein, Angriffe mit dieser Software auf Stromnetze in Deutschland sind ebenfalls prinzipiell denkbar, da die gleiche IEC-Protokollfamilie auch von deutschen EVUs eingesetzt wird. Bislang zielt sie primär auf kritische Energieinfrastrukturen, sie wurde jedoch auch in anderen Infrastrukturen entdeckt. Triton/Trisis/Hatman stehen für ein und dieselbe Malware, die Ende 2017 auf einem SIS (Safety Instrumented System)-Controller gefunden wurde. Sie modifiziert mit einem py2exe kompilierten Python Script den Speicher der Anwendung auf dem Controller. Allerdings kann das Script noch deutlich mehr. Die erste bekannt gewordene Infektion trat auf einem Windows-PC auf, der mit einem SIS-Gerät verbunden war und die daraufhin das Verhalten des Geräts veränderte. Die Spuren, die dabei hinterlassen werden, können von der Malware wieder gelöscht werden, sodass eine forensische Untersuchung nach der Entdeckung sehr schwierig ist. Wirklich bemerkenswert ist jedoch, dass die Schadsoftware nicht nach Schwachstellen im SIS selbst sucht, sondern sich das Design der Netzwerkarchitektur zunutze macht, um den Angreifern die Möglichkeit zu geben, die Befehle direkt an die Controller zu senden. Das vermutliche Ziel dieser Malware war die kritischen Betriebszustände des primären Automatisierungssystems zu erzeugen und dann zu unterbinden, sodass das Safety System (SIS) das Eintreten dieser Betriebszustände verhindert.


Das könnte Sie auch interessieren:

Die Software CAD-Doctor bereitet CAD-Daten automatisiert auf, sie konvertiert, repariert, vereinfacht und bearbeitet 3D-Modelle. Die neue Version EX 8.1 kommt unter anderem mit aktuellen Format-Schnittstellen, einer neuen Außenhüllen-Funktion und einem Auswahlbrowser für Teile in Baugruppen. Erhältlich ist die Lösung mit deutscher Benutzeroberfläche bei Camtex.‣ weiterlesen

Über welches IT-System die Qualitätsaufgaben einer Produktion gelenkt werden sollen, ist häufig noch umstritten. Während die Administration dies oft dem ERP-System zutraut, stehen viele Projektleiter und Fachverantwortliche in der MES- und CAQ-Fankurve.‣ weiterlesen

Das zur vorletzten Hannover Messe vorgestellte Yaskawa Cockpit ermöglicht es, Prozess- und Systemdaten aus Produktionsanlagen in einer Datenbank in Echtzeit zu sammeln, zu analysieren und für die externe Weiterverarbeitung bereitzuhalten. Zur diesjährigen Industriemesse ist das Cockpit unter dem Releasetitel 'EUR 1' erweitert worden.‣ weiterlesen

Unternehmensspezifische Prozesse bieten ERP-Systeme meist erst nach Anpassungen. Mit dem richtigen System lassen sich aber sogar komplett neue Produkte ohne teure Unterstützung durch den Software-Anbieter relativ einfach abbilden.‣ weiterlesen

Mendix, Low/No-Code-Spezialist und seit kurzem Siemens-Tochter, hat auf der Veranstaltung Mendix World in Rotterdam Details zum Spring-'19-Release bekanntgegeben.‣ weiterlesen

Mit der neuen Robotics Suite 2019 will Stäubli den Umgang mit seinen Robotern deutlich erleichtern. Einrichten und Warten von Applikationen soll nun effizienter und anwenderfreundlicher von der Hand gehen. Die TS2-Scara-Roboter werden jetzt ebenfalls unterstützt.‣ weiterlesen

Anzeige
Anzeige
Anzeige
Anzeige
Anzeige
Anzeige