FireEye warnt vor Hackerangriffen auf Sicherheitssysteme kritischer Infrastrukturen

FireEye meldet einen Angriff auf ein Sicherheitssystem einer als kritische Infrastruktur eingestuften Organisation. Unbekannte Angreifer schleusten demnach eine Schadsoftware ein, mit dem Ziel, das Sicherheitssystem zu manipulieren und letztlich physische Schäden an der kritischen Infrastruktur auszulösen. Der Angriff wurde nur entdeckt, weil die Täter versehentlich eine Abschaltung des Systems auslösten.

Der Angriff richtete sich gegen ein Triconex Safety Instrumented System (SIS) des Herstellers Schneider Electric. FireEye zufolge verschafften sich die Angreifer aus der Ferne Zugang zu einer SIS-Workstation, um den SIS-Controller neu zu programmieren. Dabei lösten sie die Ausfallsicherung aus, die wiederum automatisch die zu sichernden Industrieanlagen abschalteten – was wiederum eine Untersuchung des Betreibers der Anlage auslöste.

Dabei wurde festgestellt, dass eine Gültigkeitsprüfung eines Anwendungscodes gescheitert war, was zu einer Fehlermeldung führte. FireEye leitet daraus ab, dass die Angreifer eigentlich versucht hatten, das Safety Instrumented System so zu verändern, dass es nicht mehr funktioniert, damit eine technische Störung zu einer Beschädigung der Anlage führt.

Für ihren Angriff nutzten die noch nicht identifizierten Täter das Triton Attack Framework. Es besteht aus einer ausführbaren Datei und einer an das Ziel – in diesem der Triconex-Controller – angepassten Dateibibliothek. Die Malware wurde unter anderem eingesetzt, um den Anwendungsspeicher des SIS-Controllers zu manipulieren.

Auch wenn FireEye keine Hinweise auf die Herkunft der Angreifer gefunden hat, geht es davon aus, dass die Täter mit staatlicher Unterstützung handelten. Das sollen die für den Angriff benötigten technischen Ressourcen und das Fehlen eines finanziellen Motivs nahelegen. Zudem sei die Absicht, einen physischen Schaden zu verursachen, untypisch für Cyberkriminelle.

Darüber hinaus konnte FireEye nachvollziehen, dass die Triton-Malware eingesetzt wurde, unmittelbar nachdem sich die Angreifer Zugang zum SIS verschafft hatten. Daraus leiteten die Sicherheitsforscher ab, dass die Malware zuvor mit einem Triconex-System getestet wurde, was wiederum einen Zugang zu einem solchen System und seiner Software voraussetzt. Darüber hinaus implementiere Triton das proprietäre Kommunikationsprotokoll TriStation, das öffentlich nicht dokumentiert sei.

Für den Angriff auf Triconex-Sicherheitssysteme sieht FireEye nun mehrere Optionen: Durch die Neuprogrammierung des SIS-Controllers könnte ein False Positive ausgelöst werden, was die zu sichernde Anlage abschaltet und dem Betreiber einen finanziellen Schaden zufügt. Es könnte aber auch so manipuliert werden, dass eine Störung nicht erkannt wird, was wiederum zu einer Beschädigung der Anlage, Umweltschäden oder einer fehlerhaften Produktion führen könnte.

Bei welchem Unternehmen oder in welcher Branche der Angriff stattfand, teilte FireEye zum Schutz seines Kunden nicht mit. Schneider Electric bestätigte den Vorfall zudem gegenüber der Agentur Reuters, ebenfalls ohne sich zur Identität seines Kunden zu äußern.

Tipp: Kennen Sie die berühmtesten Hacker? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.