Cyberangriffe auf SCADA-Systeme

Diesen Beitrag anhören

Wenn es um Cybersicherheit geht, denken Menschen kaum an Angriffe auf SCADA–(Supervisory Control and Data Acquisition) und ICS-Systeme (Industrial Control Systems, industrielle Steuerungssysteme). In diesem Beitrag möchte ich auf zwei der wichtigsten Angriffe auf SCADA-Systeme in der Geschichte eingehen, um zu betonen, dass die Reichweite der Cybersicherheit beziehungsweise der Cyberbedrohung in Wahrheit viel größer ist als gedacht.

Der erste davon ist Stuxnet. Einer der vielleicht wichtigsten SCADA/ICS-Angriffe der Geschichte war der Angriff auf die speicherprogrammierbaren Steuerungen (PLC – Programmable Logic Controller), die der Iran in seinen Anreicherungsanlagen in Natanz einsetzte. Dabei wurde der als Stuxnet bekannte Computerwurm verwendet, dessen Hauptziel die iranischen Atomanlagen waren und der seither in immer neuen Varianten auftaucht und sich auf andere Industrie- und Energieanlagen ausbreitet.

Mit diesem Angriff übernahm Stuxnet die Kontrolle über die Maschinen, die die Zentrifugen betrieben, welche das bombenfähige Isotop Uran-235 vom Isotop Uran-238 trennen. Unauffällig und unbemerkt brachte er die Drehung von rund tausend dieser Zentrifugen aus dem Takt, sodass sie stoppten, kollidierten und sich selbst zerstörten. Fachleuten zufolge führte dies zur vorübergehenden Stilllegung der Anlage in Natanz und verzögerte um Jahre, dass der Iran genug U-235 für eine Atomwaffe gewinnen konnte.

Der mehrteilige (multi-part) Stuxnet war ein Wurm, der über USB-Geräte in das Betriebssystem Windows eindrang und sich verbreitete. Nachdem er im infiltrierten Netzwerk Computer mit installierten Siemens-PLCs gefunden hatte, aktualisierte er seinen Code über das Internet und begann, Befehle zu senden, die die vom Computer gesteuerten elektromechanischen Teile beschädigen sollten. Gleichzeitig sendete er falsche Rückmeldungen (false feedback) an die Hauptsteuerungen, damit die Überwachenden die Fehler im System nicht bemerkten, bis die Teile sich selbst zerstört hatten.

Ein weiterer wichtiger SCADA-Angriff ist BlackEnergy 3 (BE3). Bekanntlich kam es 2014 zwischen Russland und der Ukraine zu Kämpfen über den Status der Krim. Überlassen wir die bewaffnete Seite des Konflikts den Fachleuten und betrachten einen offenbar sehr ausgefeilten Angriff über ICS/SCADA.

Bestimmte Regionen der Ukraine wurden 2015 in Dunkelheit gestürzt, und als Ursache wurde die Schadsoftware BlackEnergy 3 genannt. Die erste Variante von BlackEnergy, BE1, wurde als kriminelles Werkzeug zum Aufbau von Botnetzen für DDoS-Angriffe geschrieben und ab 2007 auf dem russischen Cyber(crime)-Markt verkauft.

Die zweite Variante, BE2, wurde 2008 neu geschrieben, wobei BE1 eine Schutzschicht, ein Kernel-Modus-Rootkit und eine modulare Architektur erhielt. (Ein Rootkit ist Software, mit der Cyberkriminelle die Kontrolle über einen Zielcomputer oder ein Netzwerk übernehmen.) BE3 ist eine weiterentwickelte Variante von BE2 ohne Kernel-Modus-Komponente.

Die Angreifer nutzten BE3 als Waffe und CVE-2014-4114 in Microsoft Office 2013 als Schwachstelle. Microsoft bezeichnete dieselbe Schwachstelle als MS14-060. Microsoft beschreibt diese Schwachstelle so: „Ein Angreifer, der diese Sicherheitslücke erfolgreich ausnutzt, kann beliebigen Code im Kontext des aktuellen Benutzers ausführen. Ist der aktuelle Benutzer mit Administratorrechten angemeldet, kann der Angreifer Programme installieren, Daten anzeigen, ändern oder löschen oder neue Konten mit allen Benutzerrechten erstellen.“ In IT-Begriffen heißt das, dass der Administrator des Systems nicht mehr dessen rechtmäßiger Administrator ist.

Dieser Angriff auf die Stromverteilzentren der Ukraine ließ rund 225.000 ukrainische Bürger ohne Strom. Den Angaben über den Angriff zufolge schickten die Angreifer im Frühjahr 2015 den Leitern der IT-Abteilungen verschiedener ukrainischer Stromverteiler per Spear-Phishing (gezieltes Ködern der Beschäftigten einer bestimmten Abteilung einer Organisation wie beim Angeln) schädliche E-Mails. Als die Beschäftigten die Anhänge öffnen wollten, erschien auf ihren Bildschirmen der Hinweis „Aktivieren Sie Makros, um das Dokument zu öffnen“. Dass die Beschäftigten die Makros aktivierten, führte dazu, dass BE3 die Computer infizierte und den Angreifern eine Hintertür auf den Rechnern öffnete. Das bedeutete, dass sich der Angreifer nun jederzeit mit den infizierten Computern verbinden konnte. Auch wenn die Angreifer anfangs nicht bekamen, was sie wollten, übernahmen sie durch Erkundung des Systems schließlich die Benutzerkonten, über die die Netzwerkkonten verwaltet wurden (Windows Domain Controller).

Danach erbeuteten sie die Zugangsdaten der Beschäftigten, nämlich die VPN-Daten, mit denen das Personal das SCADA-Netz aus der Ferne steuerte. Die Angreifer waren so raffiniert und hatten an alles gedacht, dass sie sogar den Kundendienst mit einem DDoS-Angriff lahmlegten, damit die Kunden nicht in der Zentrale anrufen und sich über den Stromausfall beschweren konnten.

Ob gegen die Täter der beiden genannten Vorfälle Sanktionen verhängt wurden, wissen wir nicht, doch beide verursachten in den Ländern, in denen sie sich ereigneten, ernste Probleme.