Angriffsszenarien, bei denen eine SPS beteiligt ist

Sie sind hier: Das Magazin für alle IT-Security-Themen » Virenwarnung » Hintergrund

Evil PLC-Attacke: Team82-Sicherheitsforscher entdecken neue Angriffstechnik gegen Industrieanlagen

PLCs können Engineering-Workstations dazu veranlassen, bösartigen Code zur Manipulation von Prozessen oder Ransomware auszuführen

Speicherprogrammierbare Steuerungen (SPS) sind unverzichtbare Industriegeräte, die Fertigungsprozesse in allen kritischen Infrastrukturbereichen regeln. Deshalb sind sie für Cyberkriminelle und staatlich unterstützte Angreifer ein interessantes Ziel, wie etwa beim Stuxnet-Angriff auf das iranische Atomprogramm. Die Sicherheitsforscher von Team82, der Forschungsabteilung des Spezialisten für die Sicherheit von cyber-physischen Systemen (CPS) Claroty, konnten nun nachweisen, dass industrielle Steuerungssysteme nicht nur als Ziel fungieren, sondern auch als Waffe eingesetzt werden können, um Engineering-Workstations für die Verbreitung bösartigen Codes zu nutzen und weiter in OT- und Unternehmensnetzwerke einzudringen.

Diese neue Angriffstechnik namens "Evil PLC-Attacke" konnte im Rahmen von Proof-of-Concept-Exploits bei sieben renommierten Automatisierungsherstellern (Rockwell Automation, Schneider Electric, GE, B&R, Xinje, OVARRO und Emerson) erfolgreich durchgeführt werden. Mittlerweile haben die meisten der betroffenen Hersteller entsprechende Updates, Patches oder Abhilfemaßnahmen gegen Evil PLC-Attacken veröffentlicht.

Hintergrund

Eine SPS ist ein robuster Computer, der zur Steuerung einer Maschine, eines Automatisierungsprozesses oder einer ganzen Produktionslinie eingesetzt wird. Sie empfängt Daten von Sensoren oder Eingabegeräten, verarbeitet diese Daten und löst auf der Grundlage der aktuell geladenen Code-Logik und Parameter bestimmte Ausgaben aus. Neben der Steuerung eines Automatisierungsprozesses wird die SPS auch zur Überwachung und Aufzeichnung von Laufzeitdaten verwendet, kann automatisch Prozesse starten und stoppen oder Alarme erzeugen, wenn eine Maschine nicht richtig funktioniert.

Dabei ist die SPS-Architektur nur für die Steuerung, Unterstützung, Wartung und Überwachung eines Automatisierungsprozesses ausgelegt. Zur Diagnose, Steuerung und Wartung der speicherprogrammierbaren Steuerungen nutzen Techniker Engineering-Workstations. Durch sie ist es möglich, Zustandsprüfungen der SPS durchzuführen, den aktuellen Zustand aller Komponenten einschließlich der Speichervariablen und der physischen Aspekte der Ein- und Ausgabe anzuzeigen, Firmware-Upgrades durchzuführen und die SPS-Code-Logik zu ändern.

Evil PLC-Attacke

Die meisten Angriffsszenarien, bei denen eine SPS beteiligt ist, betreffen den Zugriff auf die Steuerung und deren Ausnutzung. SPS sind attraktive Ziele für Angreifer, da typische industrielle Netzwerke über Dutzende SPS verfügen, die verschiedene Vorgänge ausführen. Angreifer, die einen speziellen Prozess physisch stören möchten, müssen dabei zunächst relativ aufwändig die entsprechende SPS identifizieren. Die Sicherheitsforscher folgten jedoch einem anderen Ansatz, indem sie sich auf die SPS als Werkzeug und nicht auf das Ziel konzentrierten, also die SPS nutzten, um auf die Engineering-Workstation zuzugreifen: Die Engineering-Workstation ist die beste Quelle für prozessbezogene Informationen und hat Zugang zu allen anderen SPS im Netzwerk. Mit diesem Zugang und diesen Informationen kann der Angreifer leicht die Logik auf jeder SPS ändern.

Die schnellste Methode, einen Techniker dazu zu bringen, sich mit einer infizierten SPS zu verbinden, besteht darin, dass die Angreifer eine Fehlfunktion oder einen Fehler in der SPS verursachen. Dadurch wird der Techniker gezwungen, eine Verbindung herzustellen und die Software der technischen Workstation zur Fehlerbehebung zu verwenden. Im Rahmen der Untersuchung wurde dieser neue Angriffsvektor auf mehreren weit verbreiteten ICS-Plattformen ausgeführt. Dabei fanden die Spezialisten verschiedene Schwachstellen in jeder Plattform, die es ihnen ermöglichten, die SPS so zu manipulieren, dass bei einem Upload-Vorgang eigens erstellte Hilfsdaten die Engineering-Workstation dazu veranlassen, bösartigen Code auszuführen. So gelang beispielsweise die Infektion der Workstations mit Ransomware über die Steuerungen Schneider Electric M580 und Rockwell Automation Micro800 sowie das Steuerungssystem GE Mark VIe.

"Wir halten die Evil PLC-Attacken für eine neue Angriffstechnik. Bei diesem Ansatz wird die SPS mit Daten angegriffen, die nicht unbedingt Teil einer normalen statischen/Offline-Projektdatei sind, und die Ausführung von Code bei einem technischen Verbindungs-/Upload-Vorgang ermöglicht", erklärt Sharon Brizinov, Directory of Security Research bei Claroty. "Bei diesem Angriffsvektor ist das Ziel nicht die SPS, wie es beispielsweise bei der Stuxnet-Malware der Fall war, die die SPS-Logik heimlich veränderte, um physische Schäden zu verursachen. Stattdessen wollten wir die SPS als Dreh- und Angelpunkt nutzen, um die Techniker und Workstations anzugreifen und um tieferen Zugang zum OT-Netzwerk zu erhalten." Dabei ist hervorzuheben, dass alle gefundenen Schwachstellen auf der Seite der Engineering-Workstation-Software lagen und nicht in der SPS-Firmware. In den meisten Fällen sind die Schwachstellen darauf zurückzuführen, dass die Software den von der SPS kommenden Daten voll und ganz vertraut, ohne umfassende Sicherheitsüberprüfungen durchzuführen.

Empfehlungen

Alle im Rahmen der Untersuchung identifizierten Schwachstellen wurden den betroffenen Anbietern gemäß der Coordinated Disclosure Policy von Team82 gemeldet. Die meisten Hersteller haben entsprechende Updates, Patches oder Abhilfemaßnahmen gegen Evil PLC-Attacken veröffentlicht. Gleichwohl ist es nicht einfach, ein 100-prozentiges Patching-Niveau zu erreichen, insbesondere bei kritischen Infrastrukturen. Daher sind zusätzliche Maßnahmen zur Risikominderung erforderlich, um das Risiko eines Evil PLC-Angriffs zu verringern.

Bei Evil PLC-Angriffen sind die speicherprogrammierbaren Steuerungen der Ausgangspunkt. Deshalb muss der Zugang zu ihnen so weit wie möglich eingeschränkt werden. Sie sollten keinesfalls von außen zugänglich sein oder online gestellt werden. Aber auch der interne Zugriff ist auf autorisierte Ingenieure und Techniker zu beschränken. Da die Sicherung der Verbindung zu den speicherprogrammierbaren Steuerungen langwierig, aufwändig und bei falscher Umsetzung sogar unwirksam ist, empfehlen die Claroty-Sicherheitsforscher folgenden Maßnahmen:

>> Netzwerksegmentierung und -hygiene: Der erste Schritt zur Sicherung der Verbindung zu Ihren speicherprogrammierbaren Steuerungen ist die Beschränkung des Zugangs durch eine strikte Segmentierung Ihres Netzwerks. Erlauben Sie den Zugriff auf Ihre SPS nur einer kleinen Gruppe von Engineering-Workstations, wodurch die Angriffsfläche in Ihrem Netzwerk erheblich reduziert wird.

>> Effektive Client-Authentifizierung: Es ist von entscheidender Bedeutung, die SPS so zu konfigurieren, dass sie einen Client-Authentifizierungsmechanismus verwendet, um die Identität des Clients (Engineering-Workstation) zu validieren. Derzeit implementieren einige Hersteller solche Kommunikationsprotokolle, bei denen nur eine bestimmte und vordefinierte Gruppe von zertifizierten Engineering-Workstations mit der SPS interagieren kann. So unterstützt B&R beispielsweise die TLS Client-Authentifizierung, die in der Automation Server Engineering Workstation konfiguriert werden kann.

>> Public Key Infrastructure (PKI): Eine noch robustere Lösung ist die Verwendung eines umfassenden PKI-Systems zur Validierung und Verschlüsselung des gesamten Datenverkehrs zwischen dem Client (Engineering-Workstation) und dem Server (SPS). Die gegenseitige Authentifizierung (TLS) trägt dazu bei, das Risiko eines Hackerangriffs auf Ihre OT-Anlagen erheblich zu verringern. Allerdings ist PKI in vielen ICS-Produktlinien noch nicht implementiert. Umfassende PKI-Systeme bieten unter anderem Rockwell Automation CIP Security, Siemens TIA v17 und GE ToolsBoxST Secure Mode.

>> Überwachung des Netzwerkverkehrs: Der neue Angriffsvektor beinhaltet die Durchführung von Download- und Upload-Prozeduren zu/von einer SPS. Daher ist es wichtig, den OT-Netzwerkverkehr zu überwachen und insbesondere diese Arten von Ereignissen zu erkennen. Wenn ein solcher Vorgang in einer unerwarteten Situation auftritt, könnte dies auf einen Angriffsversuch hindeuten.

>> Auf dem neuesten Stand bleiben: Da sowohl Angreifer als auch Sicherheitsverantwortliche diesen neuen Angriffsvektor weiter erforschen, werden weitere Schwachstellen entdeckt werden. OT-Anbieter werden auch zukünftig entsprechende Patches erstellen. Deshalb ist es wichtig, die OT-Software immer auf dem neuesten Stand zu halten, um sich vor diesen kurzfristigen Schwachstellen zu schützen.

(Claroty: ra)

eingetragen: 22.08.22
Newsletterlauf: 25.10.22

Claroty: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Hintergrund

Hintergrund

Freejacking- und Cryptojacking-Angriffe

Das SysdigThreat Research Team (TRT) hat eine neue Cloud-native Kryptojacking-Operation entdeckt, die AMBERSQUID getauft wurde. Diese Operation nutzt AWS-Dienste, die normalerweise nicht von Angreifern verwendet werden, wie AWS Amplify, AWS Fargate und Amazon SageMaker.

Verdacht auf Supply-Chain-Angriff: Backdoor

Das Bundeskriminalamt (BKA) hat kürzlich das aktuelle "Bundeslagebild Cybercrime 2022" veröffentlicht. Dieser Bericht liefert einen umfassenden Überblick über die aktuelle Lage im Bereich der Cyberkriminalität und zeigt die Entwicklungen und Bedrohungen des vergangenen Jahres auf.

Traditionelles Phishing versus Drittanbieter-Phishing

Phishing stellt seit jeher eine enorme Bedrohung für Unternehmen dar. Besonders besorgniserregend ist die Tatsache, dass Angreifer ständig neue Wege finden, um hochentwickelte Angriffsmethoden zu entwickeln, die in der Lage sind die verschiedenen Cybersicherheitsprotokolle zu umgehen.

Vielzahl von Ladeoptionen für bösartige Payloads

Der Downloader HijackLoader erfährt zunehmende Popularität in den Kreisen von Bedrohungsakteuren, weshalb die Analysten des ThreatLabZ-Teams diese seit Juli 2023 auftretende Malware nun genauer untersucht haben. Aufgrund seiner modularen Architektur ist der Loader in der Lage, eine Vielzahl von Modulen für die Code-Injektion und -Ausführung zu verwenden.

Besuchen Sie SaaS-Magazin.de

SaaS, On demand, ASP, Cloud Computing, Outsourcing >>>

Kostenloser Newsletter

Werktäglich informiert mit IT SecCity.de, Compliance-Magazin.de und SaaS-Magazin.de. Mit einem Newsletter Zugriff auf drei Online-Magazine. Bestellen Sie hier

Fachartikel

Grundlagen

Big Data bringt neue Herausforderungen mit sich

Die Digitale Transformation zwingt Unternehmen sich mit Big Data auseinanderzusetzen. Diese oft neue Aufgabe stellt viele IT-Teams hinsichtlich Datenverwaltung, -schutz und -verarbeitung vor große Herausforderungen. Die Nutzung eines Data Vaults mit automatisiertem Datenmanagement kann Unternehmen helfen, diese Herausforderungen auch mit kleinen IT-Teams zu bewältigen. Big Data war bisher eine Teildisziplin der IT, mit der sich tendenziell eher nur Großunternehmen beschäftigen mussten. Für kleinere Unternehmen war die Datenverwaltung trotz wachsender Datenmenge meist noch überschaubar. Doch die Digitale Transformation macht auch vor Unternehmen nicht halt, die das komplizierte Feld Big Data bisher anderen überlassen haben. IoT-Anwendungen lassen die Datenmengen schnell exponentiell anschwellen. Und während IT-Teams die Herausforderung der Speicherung großer Datenmengen meist noch irgendwie in den Griff bekommen, hakt es vielerorts, wenn es darum geht, aus all den Daten Wert zu schöpfen. Auch das Know-how für die Anforderungen neuer Gesetzgebung, wie der DSGVO, ist bei kleineren Unternehmen oft nicht auf dem neuesten Stand. Was viele IT-Teams zu Beginn ihrer Reise in die Welt von Big Data unterschätzen, ist zum einen die schiere Größe und zum anderen die Komplexität der Datensätze. Auch der benötigte Aufwand, um berechtigten Zugriff auf Daten sicherzustellen, wird oft unterschätzt.

Bösartige E-Mail- und Social-Engineering-Angriffe

Ineffiziente Reaktionen auf E-Mail-Angriffe sorgen bei Unternehmen jedes Jahr für Milliardenverluste. Für viele Unternehmen ist das Auffinden, Identifizieren und Entfernen von E-Mail-Bedrohungen ein langsamer, manueller und ressourcenaufwendiger Prozess. Infolgedessen haben Angriffe oft Zeit, sich im Unternehmen zu verbreiten und weitere Schäden zu verursachen. Laut Verizon dauert es bei den meisten Phishing-Kampagnen nur 16 Minuten, bis jemand auf einen bösartigen Link klickt. Bei einer manuellen Reaktion auf einen Vorfall benötigen Unternehmen jedoch circa dreieinhalb Stunden, bis sie reagieren. In vielen Fällen hat sich zu diesem Zeitpunkt der Angriff bereits weiter ausgebreitet, was zusätzliche Untersuchungen und Gegenmaßnahmen erfordert.

Zertifikat ist allerdings nicht gleich Zertifikat

Für Hunderte von Jahren war die Originalunterschrift so etwas wie der De-facto-Standard um unterschiedlichste Vertragsdokumente und Vereinbarungen aller Art rechtskräftig zu unterzeichnen. Vor inzwischen mehr als einem Jahrzehnt verlagerten sich immer mehr Geschäftstätigkeiten und mit ihnen die zugehörigen Prozesse ins Internet. Es hat zwar eine Weile gedauert, aber mit dem Zeitalter der digitalen Transformation beginnen handgeschriebene Unterschriften auf papierbasierten Dokumenten zunehmend zu verschwinden und digitale Signaturen werden weltweit mehr und mehr akzeptiert.

Datensicherheit und -kontrolle mit CASBs

Egal ob Start-up oder Konzern: Collaboration Tools sind auch in deutschen Unternehmen überaus beliebt. Sie lassen sich besonders leicht in individuelle Workflows integrieren und sind auf verschiedenen Endgeräten nutzbar. Zu den weltweit meistgenutzten Collaboration Tools gehört derzeit Slack. Die Cloudanwendung stellt allerdings eine Herausforderung für die Datensicherheit dar, die nur mit speziellen Cloud Security-Lösungen zuverlässig bewältigt werden kann. In wenigen Jahren hat sich Slack von einer relativ unbekannten Cloud-Anwendung zu einer der beliebtesten Team Collaboration-Lösungen der Welt entwickelt. Ihr Siegeszug in den meisten Unternehmen beginnt häufig mit einem Dasein als Schatten-Anwendung, die zunächst nur von einzelnen unternehmensinternen Arbeitsgruppen genutzt wird. Von dort aus entwickelt sie sich in der Regel schnell zum beliebtesten Collaboration-Tool in der gesamten Organisation.

KI: Neue Spielregeln für IT-Sicherheit

Gerade in jüngster Zeit haben automatisierte Phishing-Angriffe relativ plötzlich stark zugenommen. Dank künstlicher Intelligenz (KI), maschinellem Lernen und Big Data sind die Inhalte deutlich überzeugender und die Angriffsmethodik überaus präzise. Mit traditionellen Phishing-Angriffen haben die Attacken nicht mehr viel gemein. Während IT-Verantwortliche KI einsetzen, um Sicherheit auf die nächste Stufe zu bringen, darf man sich getrost fragen, was passiert, wenn diese Technologie in die falschen Hände, die der Bad Guys, gerät? Die Weiterentwicklung des Internets und die Fortschritte beim Computing haben uns in die Lage versetzt auch für komplexe Probleme exakte Lösungen zu finden. Von der Astrophysik über biologische Systeme bis hin zu Automatisierung und Präzision. Allerdings sind alle diese Systeme inhärent anfällig für Cyber-Bedrohungen. Gerade in unserer schnelllebigen Welt, in der Innovationen im kommen und gehen muss Cybersicherheit weiterhin im Vordergrund stehen. Insbesondere was die durch das Internet der Dinge (IoT) erzeugte Datenflut anbelangt. Beim Identifizieren von Malware hat man sich in hohem Maße darauf verlassen, bestimmte Dateisignaturen zu erkennen. Oder auf regelbasierte Systeme die Netzwerkanomalitäten aufdecken.

DDoS-Angriffe nehmen weiter Fahrt auf

DDoS-Attacken nehmen in Anzahl und Dauer deutlich zu, sie werden komplexer und raffinierter. Darauf machen die IT-Sicherheitsexperten der PSW Group unter Berufung auf den Lagebericht zur IT-Sicherheit 2018 des Bundesamtes für Sicherheit in der Informationstechnik (BSI) aufmerksam. Demnach gehörten DDoS-Attacken 2017 und 2018 zu den häufigsten beobachteten Sicherheitsvorfällen. Im dritten Quartal 2018 hat sich das durchschnittliche DDoS-Angriffsvolumen im Vergleich zum ersten Quartal mehr als verdoppelt. Durchschnittlich 175 Angriffen pro Tag wurden zwischen Juli und September 2018 gestartet. Die Opfer waren vor allem Service-Provider in Deutschland, in Österreich und in der Schweiz: 87 Prozent aller Provider wurden 2018 angegriffen. Und bereits für das 1. Quartal dieses Jahres registrierte Link11 schon 11.177 DDoS-Angriffe.

Fluch und Segen des Darkwebs

Strengere Gesetzesnormen für Betreiber von Internet-Plattformen, die Straftaten ermöglichen und zugangsbeschränkt sind - das forderte das BMI in einem in Q1 2019 eingebrachten Gesetzesantrag. Was zunächst durchweg positiv klingt, wird vor allem von Seiten der Bundesdatenschützer scharf kritisiert. Denn hinter dieser Forderung verbirgt sich mehr als nur das Verbot von Webseiten, die ein Tummelplatz für illegale Aktivitäten sind. Auch Darkweb-Plattformen, die lediglich unzugänglichen und anonymen Speicherplatz zur Verfügung stellen, unterlägen der Verordnung. Da diese nicht nur von kriminellen Akteuren genutzt werden, sehen Kritiker in dem Gesetzesentwurf einen starken Eingriff in die bürgerlichen Rechte. Aber welche Rolle spielt das Darkweb grundsätzlich? Und wie wird sich das "verborgene Netz" in Zukunft weiterentwickeln? Sivan Nir, Threat Analysis Team Leader bei Skybox Security, äußert sich zu den zwei Gesichtern des Darkwebs und seiner Zukunft.