ESET hat für Stromausfall in der Ukraine verantwortlichen Cyberangriff analysiert
Der Angriff Ende Dezember zeigt demnach exemplarisch Gefahren vernetzter Systeme auf. Bei ihm kam der Trojaner BlackEnergy kam in Kombination mit einer SSH-Backdoor und einer KillDisk-Komponente zum Einsatz. Der Trojaner wurde in Systemen mehrerer Energieversorger gefunden. Allerdings ist zu den Hintermännern immer noch wenig bekannt.
Der Security-Software-Hersteller ESET hat nun Ergebnisse einer ersten Analyse des Ende Dezember durchgeführten Cyber-Angriffs auf das Stromnetz in der Ukraine vorgelegt. Demnach kam dabei wie bereits früher bei zielgerichteten Angriffen auf Energieversorger und Medien in der Ukraine sowie gegen ähnliche Ziele in der Ukraine und Polen der Trojaner BlackEnergy zum Einsatz. Er verbreitet sich über Microsoft Word respektive Powerpoint-Dateien, indem er die Schwachstellen CVE-2014-1761 und CVE-2014-4114 ausnutzt. Beide sind zwar schon länger bekannt, aber offenbar nicht immer überall behoben worden.
Robert Lipovsky, Senior Malware Researcher bei ESET, geht davon aus, dass es sich bei den Angreifern um Personen aus Russland handelt. Allerdings gibt es “noch keine eindeutige Bestätigung dafür”. Sicher sei dagegen, dass der BlackEnergy-Trojaner zusammen mit einer SSH-Backdoor und einer KillDisk-Komponente in Systemen mehrerer ukrainischer Energieversorger gefunden wurde. Die Angreifer hätten so Fernzugriff erhalten und wesentliche Systeme abschalten und Daten löschen können.
Damit wiederum zeige der Angriff exemplarisch die Gefahren der Vernetzung industrielle Systeme über das Internet auf. Die ist nach Ansicht von Lipovsky grundsätzlich ein Sicherheitsrisiko dar. Die Gefahren seien denen ähnlich, die man von PCs für Privatnutzer her kennt. Allerdings sei das Einspielen von Patches auf stark individualisierten Industrie-Systemen sehr schwierig. Insbesondere in Verbindung mit einer dauerhaften Internetverbindung tue sich so eine erhebliche Schwachstelle auf.
Ein weiterer wichtiger Aspekt des Angriffs auf den Energiesektor in der Ukraine ist, dass er uns aufzeigt, wie künftige, komplexe Angriffe aussehen könnten. “Die Stromversorgung ist eine Achillesferse für jede Organisation. Ein umfassender Stromausfall ist daher der Traum jedes Feindes”, so Lipovsky. “Es ist üblich, dass spezielle Software, die verwendet wird, um Software für Industrieanlagen zu programmieren und zu kontrollieren, auf PCs mit Betriebssystemen wie Windows oder Linux läuft. Die können mit ähnlicher oder sogar derselben Malware angegriffen werden, die sich auch gegen normale Internetnutzer richtet. Und natürlich können auch alle anderen gängigen Angriffswege gewählt werden, darunter auch die Ausnutzung menschlicher Fehler und Social Engineering.”
Ein weiteres Beispiele ist laut Lipovsky der Angriff auf ein Stahlwerk in Deutschland, über den das BSI in seinem Lagebericht 2014 aufgeführt hat (PDF, Seite 31) . Dabei drangen die unbekannten Angreifer zunächst Mittels Spear-Phishing und “ausgefeiltem Social Engineering” in das Büronetzwerk des Stahlwerks ein. Dies erlaubte es ihnen dann, Zugriff auf das Produktionsnetz zu erlangen. Durch ihre Aktivitäten dort häuften sich Ausfälle mehrerer Steuerungskomponenten oder ganzer Anlagen. Der größte Schaden entstand jedoch, als ein Hochofen deshalb nicht mehr geregelt heruntergefahren werden konnte und dadurch erheblich beschädigt wurde.