Industrieanlagen hacken: Millionen-schwere Sabotage mit 4 Zeilen Code

Die IT-Sicherheit von Industrieanlagen klingt nach gepflegter Langeweile - bis man vorgeführt bekommt, wie sich mit vier Zeilen Code ganze Produktionsanlagen sabotieren und Schäden in Millionenhöhe anrichten lassen. So war es auf einer Security-Konferenz zu sehen, auf der zwei Experten der Firma Insinia auftraten.
Infografik: Carbanak-Malware, spezialisiert auf Finanzinstitute
Es ist keineswegs so, dass die Frage der Sicherheit bei den so genannten Supervisory Control and Data Acquisition (SCADA)-Systemen keine Rolle spielte. Allerdings bestand die praktische Lösung in der Regel darin, die Computer in der Produktionssteuerung physikalisch vom Internet getrennt zu halten. Jetzt allerdings werden unter dem Schlagwort Industrie 4.0 nahezu überall, wo sich Daten gewinnen lassen, Netzwerkanschlüsse angeflanscht, was zu erheblichen Problemen führen kann.

Wie Insinia-Chef Mike Godfrey laut einem Bericht des Register erklärte, schlichen sich dadurch nur allzu verständliche Schwächen in die Architekturen ein, die jetzt zum Tragen kommen. Fest einprogrammierte Zugangsdaten und fehlende Verschlüsselungen sind im Grunde an der Tagesordnung. Ganz zu schweigen davon, dass die meisten SCADA-Systeme, auf die man heute trifft, zwar auf Windows 7 basieren, aber im Grunde nie einen Patch gesehen haben. Teils stößt man aber auch noch auf Windows 98, das nach wie vor über eigentlich schon als antik anzusehende Angriffs-Tools wie Back Orifice attackiert werden kann.

Breites Angriffs-Spektrum

Die Bandbreite, in der solche Systeme zu entdecken sind, reicht vom einfachen Gebäudemanagement, bei dem beispielsweise Türschließanlagen und Rollläden an Fenstern automatisiert gesteuert werden, bis hin zu Anlagen, die Wasser und Strom für sehr viele Menschen bereitstellen. Und diese können mit einem breiten Spektrum an Verfahren angegriffen und in die Knie gezwungen werden - das reicht von schnöden DoS-Überlastungen bis hin zu relativ feinen Codes, die durch gezielte Manipulationen Abstürze herbeiführen.

Um die Anfälligkeit von SCADA-Systemen zu demonstrieren, haben die Security-Experten ein Demo-Werkzeug aus einem Arduino-Board entwickelt. Letztlich genügt es hier, dieses als kleines Kästchen in der Nähe der zu attackierenden Anlagen aufzustellen. Es sucht automatisch mit den herkömmlichen Tools nach Zugangsmöglichkeiten zu den Systemen in der Nähe, anschließend sorgt dann ein nur vier Code-Zeilen umfassender Exploit für deren Stilllegung. Anhand der Beispiele einiger Fertigungsanlagen wurde so gezeigt, wie sich durch Ausfälle binnen kurzer Zeit hohe Umsatzausfälle verursachen lassen - und potenziell auch Menschenleben gefährdet werden können.

Download Bitdefender Home Scanner - Sicherheits-Check