Industroyer: Malware greift Stromnetze an

Sicherheitsexperten haben eine Schadsoftware analysiert, die Stromnetze angreifen und für Stromausfälle sorgen kann. Entdeckt wurden erste Proben der Malware vom slowakischen Antivirus-Anbieter Eset, der diese als „Win32/Industroyer“ getauft hat und in einem Whitepaper (PDF) ausführlich beschreibt.

Eine weitere Analyse (PDF) nahm die Sicherheitsfirma Dragos vor, die ihren Sitz in der US-Hauptstadt Washington hat und auf die Sicherung industrieller Steuerungssysteme spezialisiert ist. Dragos wählte mit „Crash Override“ eine eigene Bezeichnung für die Malware.

Allem Anschein nach kam Industroyer bereits praktisch zum Einsatz und legte im Dezember 2016 das Stromnetz der ukrainischen Hauptstadt Kiew teilweise lahm. Die Washington Post schreibt diesen Angriff russischen Hackern zu, die mit der Putin-Regierung verbunden sind. Beweise dafür gibt es allerdings nicht.  In der Branche ist es üblich, Angriffe auf fremde Computersysteme nicht von eigenen Systemen aus zu führen, sondern über Proxy-Server, um den Ausgangspunkt der Attacken zu verschleiern.

Die von Dragos als Electrum bezeichnete Hackergruppe soll dabei außerdem dieselben Computersysteme benutzt haben, mit denen sie schon ein Jahr zuvor in der Ukraine für einen Blackout sorgte, bei dem 700.000 Menschen kurz vor Weihnachten im Dunkeln saßen. 2015 kam allerdings noch die Malware KillDisk zum Einsatz, deren Code keine offensichtlichen Übereinstimmungen mit Industroyer aufweist.

Industroyer ist eine modulare Malware, deren wesentliche Komponente eine Hintertür ist, über die die Angreifer die weiteren Komponenten installieren und steuern. Von anderer Schadsoftware hebt sie sich durch vier Komponenten ab, die der direkten Kontrolle von Schaltungen und Stromkreisunterbrechern in elektrischen Umspannwerken dienen. Jede von ihnen ist auf bestimmte Kommunikationsprotokolle ausgerichtet, die in industriellen Steuerungssystemen weltweit benutzt werden. Diese Protokolle wiederum wurden vor Jahrzehnten entwickelt, als Industriesysteme von der Außenwelt isoliert waren. Sicherheit war daher noch kein relevantes Thema – und heute kann Schadsoftware angreifen, indem sie sich ganz einfach dieser Protokolle bedient.

Sicherheitsexperten sehen in Industroyer nun die größte Gefahr für industrielle Steuerungssysteme seit dem Stuxnet-Wurm, der iranische Atomzentrifugen zerstörte und damit das iranische Nuklearprogramm empfindlich behinderte. Die von den Vereinigten Staaten und Israel entwickelte Schadsoftware infizierte später aber auch weltweit eine große Anzahl von Rechnern.

Laut Eset stellt sich jetzt die Frage, ob es sich beim ersten Einsatz von Industroyer nur um einen großflächigen Test handelte. Die Malware sei in der Lage, empfindliche Schäden in Stromversorgungssystemen anzurichten. Darüber hinaus könnte sie jederzeit umgerüstet werden, um andere kritische Infrastrukturen anzugreifen.

Die Schadsoftware eignet sich außerdem für Angriffe auf Stromnetze rund um die Welt. „Das ist extrem alarmierend, weil sich das absolut nicht nur auf die Ukraine bezieht“, zitiert Wired den Dragos-Gründer und früheren Geheimdienst-Analysten Robert M. Lee. „Die haben eine Plattform geschaffen, um künftig weitere Attacken starten zu können.“

Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.