Home » News » Cybersecurity » Wie Steuerungssysteme für Angriffe auf Industrieanlagen genutzt werden

Wie Steuerungssysteme für Angriffe auf Industrieanlagen genutzt werden

Speicherprogrammierbare Steuerungen (SPS) sind für Cyberkriminelle und staatlich unterstützte Angreifer ein interessantes Ziel, wie etwa beim Stuxnet-Angriff auf das iranische Atomprogramm. Die Steuerungssysteme sind unverzichtbare Industriegeräte, die Fertigungsprozesse in allen kritischen Infrastrukturbereichen regeln.

5 Min. Lesezeit
Foto: ©AdobeStock/mrdeeds

Speicherprogrammierbare Steuerungen (SPS) lassen sich offenbar mit Daten füttern, die dort eine Störung verursachen und so einen „Reparaturversuch“ provozieren. Schließt nun ein Techniker seine Engineering Station an, lädt die SPS Malware-Code und Ransomware an das angeschlossene Gerät. Bisher waren SPS in der Regel selbst das Ziel – nun sind sie auch noch Tor ins interne OT-Netzwerk.

SPS sind für Cyberkriminelle und staatlich unterstützte Angreifer ein interessantes Ziel, wie etwa beim Stuxnet-Angriff auf das iranische Atomprogramm. Die Steuerungssysteme sind unverzichtbare Industriegeräte, die Fertigungsprozesse in allen kritischen Infrastrukturbereichen regeln. Die Sicherheitsforscher von Team82, der Forschungsabteilung von Claroty, konnten nun nachweisen, dass industrielle Steuerungssysteme nicht nur als Ziel fungieren, sondern auch als Waffe eingesetzt werden können, um Engineering-Workstations für die Verbreitung bösartigen Codes zu nutzen und weiter in OT- und Unternehmensnetzwerke einzudringen. Diese neue Angriffstechnik namens „Evil PLC-Attacke“ konnte im Rahmen von Proof-of-Concept-Exploits bei sieben renommierten Automatisierungsherstellern erfolgreich durchgeführt werden – so bei Rockwell Automation, Schneider Electric, GE, B&R, Xinje, OVARRO und Emerson. Mittlerweile haben die meisten der betroffenen Hersteller entsprechende Updates, Patches oder Abhilfemaßnahmen gegen Evil PLC-Attacken veröffentlicht.

Eine SPS ist ein robuster Computer, der zur Steuerung einer Maschine, eines Automatisierungsprozesses oder einer ganzen Produktionslinie eingesetzt wird. Sie empfängt Daten von Sensoren oder Eingabegeräten, verarbeitet diese Daten und löst auf der Grundlage der aktuell geladenen Code-Logik und Parameter bestimmte Ausgaben aus. Neben der Steuerung eines Automatisierungsprozesses wird die SPS auch zur Überwachung und Aufzeichnung von Laufzeitdaten verwendet, kann automatisch Prozesse starten und stoppen oder Alarme erzeugen, wenn eine Maschine nicht richtig funktioniert. Dabei ist die SPS-Architektur nur für die Steuerung, Unterstützung, Wartung und Überwachung eines Automatisierungsprozesses ausgelegt. Zur Diagnose, Steuerung und Wartung der speicherprogrammierbaren Steuerungen nutzen Techniker Engineering-Workstations. Durch sie ist es möglich, Zustandsprüfungen der SPS durchzuführen, den aktuellen Zustand aller Komponenten einschließlich der Speichervariablen und der physischen Aspekte der Ein- und Ausgabe anzuzeigen, Firmware-Upgrades durchzuführen und die SPS-Code-Logik zu ändern.

Wie eine Evil PLC-Attacke abläuft

Die meisten Angriffsszenarien, bei denen eine SPS beteiligt ist, betreffen den Zugriff auf die Steuerung und deren Ausnutzung. SPS sind attraktive Ziele für Angreifer, da typische industrielle Netzwerke über Dutzende SPS verfügen, die verschiedene Vorgänge ausführen. Angreifer, die einen speziellen Prozess physisch stören möchten, müssen dabei zunächst relativ aufwändig die entsprechende SPS identifizieren. Die Sicherheitsforscher folgten jedoch einem anderen Ansatz, indem sie sich auf die SPS als Werkzeug und nicht auf das Ziel konzentrierten, also die SPS nutzten, um auf die Engineering-Workstation zuzugreifen: Die Engineering-Workstation ist die beste Quelle für prozessbezogene Informationen und hat Zugang zu allen anderen SPS im Netzwerk. Mit diesem Zugang und diesen Informationen kann der Angreifer leicht die Logik auf jeder SPS ändern.

Die schnellste Methode, einen Techniker dazu zu bringen, sich mit einer infizierten SPS zu verbinden, besteht darin, dass die Angreifer eine Fehlfunktion oder einen Fehler in der SPS verursachen. Dadurch wird der Techniker gezwungen, eine Verbindung herzustellen und die Software der technischen Workstation zur Fehlerbehebung zu verwenden. Im Rahmen der Untersuchung wurde dieser neue Angriffsvektor auf mehreren weit verbreiteten ICS-Plattformen ausgeführt. Dabei fanden die Spezialisten verschiedene Schwachstellen in jeder Plattform, die es ihnen ermöglichten, die SPS so zu manipulieren, dass bei einem Upload-Vorgang eigens erstellte Hilfsdaten die Engineering-Workstation dazu veranlassen, bösartigen Code auszuführen.

„Wir halten die Evil PLC-Attacken für eine neue Angriffstechnik. Bei diesem Ansatz wird die SPS mit Daten angegriffen, die nicht unbedingt Teil einer normalen statischen/Offline-Projektdatei sind, und die Ausführung von Code bei einem technischen Verbindungs-/Upload-Vorgang ermöglicht“, erklärt Sharon Brizinov, Directory of Security Research bei Claroty. „Bei diesem Angriffsvektor ist das Ziel nicht die SPS, wie es beispielsweise bei der Stuxnet-Malware der Fall war, welche die SPS-Logik heimlich veränderte, um physische Schäden zu verursachen. Stattdessen wollten wir die SPS als Dreh- und Angelpunkt nutzen, um die Techniker und Workstations anzugreifen und um tieferen Zugang zum OT-Netzwerk zu erhalten.“ Dabei ist hervorzuheben, dass alle gefundenen Schwachstellen auf der Seite der Engineering-Workstation-Software lagen und nicht in der SPS-Firmware. In den meisten Fällen sind die Schwachstellen darauf zurückzuführen, dass die Software den von der SPS kommenden Daten voll und ganz vertraut, ohne umfassende Sicherheitsüberprüfungen durchzuführen.

Was tun?

Alle im Rahmen der Untersuchung identifizierten Schwachstellen wurden den betroffenen Anbietern gemäß der Coordinated Disclosure Policy von Team82 gemeldet. Die meisten Hersteller haben entsprechende Updates, Patches oder Abhilfemaßnahmen gegen Evil PLC-Attacken veröffentlicht. Gleichwohl ist es nicht einfach, ein 100-prozentiges Patching-Niveau zu erreichen, insbesondere bei kritischen Infrastrukturen. Daher sind zusätzliche Maßnahmen zur Risikominderung erforderlich, um das Risiko eines Evil PLC-Angriffs zu verringern.

Bei Evil PLC-Angriffen sind die speicherprogrammierbaren Steuerungen der Ausgangspunkt. Deshalb muss der Zugang zu ihnen so weit wie möglich eingeschränkt werden. Sie sollten keinesfalls von außen zugänglich sein oder online gestellt werden. Aber auch der interne Zugriff ist auf autorisierte Ingenieure und Techniker zu beschränken. Da die Sicherung der Verbindung zu den speicherprogrammierbaren Steuerungen langwierig, aufwändig und bei falscher Umsetzung sogar unwirksam ist, empfehlen die Claroty-Sicherheitsforscher folgenden Maßnahmen:

  • Netzwerksegmentierung und -hygiene:

Der erste Schritt zur Sicherung der Verbindung zu Ihren speicherprogrammierbaren Steuerungen ist die Beschränkung des Zugangs durch eine strikte Segmentierung Ihres Netzwerks. Erlauben Sie den Zugriff auf Ihre SPS nur einer kleinen Gruppe von Engineering-Workstations, wodurch die Angriffsfläche in Ihrem Netzwerk erheblich reduziert wird.

  • Effektive Client-Authentifizierung:

Es ist von entscheidender Bedeutung, die SPS so zu konfigurieren, dass sie einen Client-Authentifizierungsmechanismus verwendet, um die Identität des Clients (Engineering-Workstation) zu validieren. Derzeit implementieren einige Hersteller solche Kommunikationsprotokolle, bei denen nur eine bestimmte und vordefinierte Gruppe von zertifizierten Engineering-Workstations mit der SPS interagieren kann. So unterstützt B&R beispielsweise die TLS Client-Authentifizierung, die in der Automation Server Engineering Workstation konfiguriert werden kann.

  • Public Key Infrastructure (PKI):

Eine noch robustere Lösung ist die Verwendung eines umfassenden PKI-Systems zur Validierung und Verschlüsselung des gesamten Datenverkehrs zwischen dem Client (Engineering-Workstation) und dem Server (SPS). Die gegenseitige Authentifizierung (TLS) trägt dazu bei, das Risiko eines Hackerangriffs auf Ihre OT-Anlagen erheblich zu verringern. Allerdings ist PKI in vielen ICS-Produktlinien noch nicht implementiert. Umfassende PKI-Systeme bieten unter anderem Rockwell Automation CIP Security, Siemens TIA v17 und GE ToolsBoxST Secure Mode.

  • Überwachung des Netzwerkverkehrs:

Der neue Angriffsvektor beinhaltet die Durchführung von Download- und Upload-Prozeduren zu/von einer SPS. Daher ist es wichtig, den OT-Netzwerkverkehr zu überwachen und insbesondere diese Arten von Ereignissen zu erkennen. Wenn ein solcher Vorgang in einer unerwarteten Situation auftritt, könnte dies auf einen Angriffsversuch hindeuten.

  • Auf dem neuesten Stand bleiben:

Da sowohl Angreifer als auch Sicherheitsverantwortliche diesen neuen Angriffsvektor weiter erforschen, werden weitere Schwachstellen entdeckt werden. OT-Anbieter werden auch zukünftig entsprechende Patches erstellen. Deshalb ist es wichtig, die OT-Software immer auf dem neuesten Stand zu halten, um sich vor diesen kurzfristigen Schwachstellen zu schützen.

Detaillierte Informationen zur neuen Angriffstechnik, Proofs of Concept sowie weitere Informationen finden sich im kompletten Bericht und im entsprechenden Blog-Beitrag von Claroty.

Quelle: Claroty

Schematische Darstellung einer Evil PLC-Attacke

Andere interessante News

Große Schäden im Homeoffice durch Phishing-Mails

In jedem fünften Fall, bei dem Mitarbeitende im Homeoffice einer Phishing-Mail zum Opfer gefallen sind, wurden Zugangsdaten oder persönliche Daten ausgeleitet. Im Büro waren dies nur 14,6 Prozent.

Ein Drittel aller weltweiten Anmeldeversuche illegal

Okta belegt in seinem aktuellen State of Secure Identity Report, dass gut ein Drittel der Anmeldeversuche auf Kundenkonten mit erbeuteten Login-Daten erfolgt. Beim Credential Stuffing nutzen Angreifer die Angewohnheit mancher Nutzer aus, ein einziges Kennwort für verschiedene Anmeldungen zu verwenden.

Cyber Threat Report für das 2. Quartal 2022

Infoblox veröffentlicht seinen aktuellen Quarterly Cyber Threat Report. Ein besonderer Fokus liegt dabei auf der Verwendung von IPv6 und die Risikominderung durch Zero Trust und DNS-Sicherheit. Die Umstellung auf IPv6 in vielen großen US-Behörden hat dem Thema zusätzliche Schubkraft verliehen. Cyber-Resilienz und wirtschaftliche Effizienz sollen auf diese Weise erhöht werden.