Neue Ransomware deckt kritische Schwachstellen in industriellen Steuerungssystemen auf

Forscher demonstrieren Ransomware-Angriff auf simulierte Wasseraufbereitungsanlage

Ein Forschungsteam des Georgia Institute of Technology (Atlanta) hat eine neue Art von Ransomware entwickelt, die in einem kürzlich durchgeführten Test die Kontrolle über eine simulierte Wasseraufbereitungsanlage übernehmen konnte.

Nach dem Eindringen waren die Forscher in der Lage, programmierbare Logiksteuerungen (PLCs) anzuweisen, Ventile zu schließen, die Chlormenge im Wasser zu erhöhen und falsche Anzeigewerte darzustellen. Der simulierte Angriff, der darauf abzielte, Schwachstellen in den Steuerungssystemen aufzuzeigen, die industrielle Anlagen wie Fertigungsstätten, Wasser- und Abwasseraufbereitungsanlagen sowie Gebäudemanagementsysteme für Aufzüge, Rolltreppen und HLK-Systeme betreiben, ist laut dem Georgia-Tech-Team der erste, der einen Ransomware-Kompromittierung realer PLCs demonstriert.

Die Forschung wurde am 13. Februar auf der RSA Conference in San Francisco vorgestellt.

Während bislang keine realen Ransomware-Angriffe auf die Prozesssteuerungskomponenten industrieller Steuerungssysteme öffentlich bekannt wurden, sind Angriffe auf Patientendaten in Krankenhäusern und Kundendaten in Unternehmen ein erhebliches Problem geworden. Angreifer können Zugriff auf diese Systeme erlangen, die Daten verschlüsseln und ein Lösegeld für den Entschlüsselungsschlüssel fordern. Die Forscher stellten fest, dass Ransomware Angreifern im ersten Quartal 2016 schätzungsweise 200 Millionen Dollar eingebracht hat, und sie gehen davon aus, dass es nur eine Frage der Zeit ist, bis kritische Industriesysteme kompromittiert und erpresst werden.

„Wir erwarten, dass Ransomware einen Schritt weitergeht, über Kundendaten hinaus die Steuerungssysteme selbst kompromittiert“, sagte David Formby, Doktorand an der School of Electrical and Computer Engineering des Georgia Tech. „Das könnte Angreifern ermöglichen, kritische Systeme wie Wasseraufbereitungsanlagen und Fertigungsstätten als Geiseln zu nehmen. Die Kompromittierung der PLCs in diesen Systemen ist der nächste logische Schritt für diese Angreifer.“

Viele industrielle Steuerungssysteme weisen keine starken Sicherheitsprotokolle auf, bemerkte Raheem Beyah, Motorola Foundation Professor und Associate Chair an der School of Electrical and Computer Engineering sowie Formbys Betreuer. Das liege wahrscheinlich daran, dass diese Systeme bisher nicht Ziel von Ransomware waren und ihre Schwachstellen von den Betreibern möglicherweise nicht gut verstanden werden.

In ihrer Forschung nutzten Formby und Beyah ein spezielles Suchprogramm, um 1.400 PLCs eines einzelnen Typs zu finden, die direkt über das Internet erreichbar waren. Die meisten solcher Geräte befinden sich hinter Unternehmenssystemen, die einen gewissen Schutz bieten – bis diese kompromittiert werden. Sobald Angreifer in ein Unternehmenssystem eingedrungen sind, könnten sie in Steuerungssysteme pivoten, wenn diese nicht ordnungsgemäß abgeschottet sind.

„Viele Steuerungssysteme gehen davon aus, dass man, sobald man Zugriff auf das Netzwerk hat, berechtigt ist, Änderungen an den Steuerungssystemen vorzunehmen“, sagte Formby. „Sie können sehr schwache Passwort- und Sicherheitsrichtlinien haben, die Eindringlingen die Kontrolle über Pumpen, Ventile und andere Schlüsselkomponenten des industriellen Steuerungssystems ermöglichen.“

In den meisten Fällen wurden Steuerungssysteme nicht für die Verbindung mit dem Internet konzipiert, und viele Nutzer gehen davon aus, dass sie nicht im öffentlichen Netzwerk sind und daher nicht angreifbar. Steuerungssysteme können auch Verbindungen aufweisen, die den Betreibern unbekannt sind, einschließlich Zugriffspunkten, die für Wartung, Fehlersuche und Updates installiert wurden.

„Es gibt weit verbreitete Missverständnisse darüber, was mit dem Internet verbunden ist“, sagte Formby. „Betreiber mögen glauben, ihre Systeme seien air-gapped und es gebe keine Möglichkeit, auf die Controller zuzugreifen, aber diese Systeme sind oft auf irgendeine Weise verbunden.“

Für die Forschung identifizierten die Forscher mehrere gängige PLCs in industriellen Anlagen. Sie beschafften drei verschiedene Geräte und testeten deren Sicherheitseinrichtung, einschließlich Passwortschutz und Anfälligkeit für Einstellungsänderungen. Die Geräte wurden dann mit Pumpen, Schläuchen und Tanks zu einer simulierten Wasseraufbereitungsanlage kombiniert. Anstelle von Chlormal zur Desinfektion verwendeten die Forscher Jod. Zudem fügten sie Stärke dem Wasser zu, das bei einem simulierten Angriff, der Jod hinzufügte, leuchtend blau wurde.

„Wir konnten einen Hacker simulieren, der Zugriff auf diesen Teil des Systems erlangt hat und es als Geisel hält, indem er droht, große Mengen Chlor in das Wasser zu leiten, es sei denn, der Betreiber zahlt ein Lösegeld“, sagte Formby. „In der richtigen Menge desinfiziert Chlor das Wasser und macht es trinkbar. Aber zu viel Chlor kann eine schlechte Reaktion erzeugen, die das Wasser ungenießbar macht.“

Schwachstellen in Steuerungssystemen sind seit mehr als einem Jahrzehnt bekannt, stellten die Forscher fest, aber bis zum Aufkommen von Ransomware konnten Angreifer nicht finanziell von der Kompromittierung der Systeme profitieren. Da andere Ransomware-Ziele schwieriger werden, glaubt Beyah, dass Angreifer sich leichteren Zielen in industriellen Steuerungssystemen zuwenden könnten.

„Es ist gut möglich, dass Nationalstaaten bereits damit vertraut sind und Angriffe für politische Zwecke nutzen könnten, aber gewöhnliche Angreifer hatten bisher kein Interesse an diesen Systemen“, sagte er. „Was wir hoffen, ist, Aufmerksamkeit auf dieses Problem zu lenken. Wenn wir diese Steuerungssysteme erfolgreich angreifen können, können es andere mit böser Absicht auch.“

Neben der Verbesserung der Passwortsicherheit und der Begrenzung von Verbindungen müssen Betreiber dieser Geräte Intrusion-Monitoring-Systeme installieren, die sie alarmieren, wenn Angreifer in die Prozesssteuerungsnetzwerke eindringen. Beyah und Formby haben ein Unternehmen gegründet, um ihre Strategien zum Schutz von Systemen breit für Steuerungssystembetreiber verfügbar zu machen.

DuPont vergibt Early-Career-Förderungen

DuPont (Wilmington, DE) hat acht junge Fakultätsmitglieder in seine Young Professors Class of 2016 berufen. Das Unternehmen wird dieser internationalen Gruppe von Forschern in den nächsten zwei Jahren mehr als 350.000 Dollar bereitstellen, um ihre Forschung zu unterstützen, die grundlegendes wissenschaftliches Wissen zur Bewältigung globaler Herausforderungen in den Bereichen Nahrung, Energie und Schutz vorantreibt.

Die Young Professors 2016 forschen in Schlüsselbereichen, die für DuPont von Interesse sind, darunter Pflanzenbiologie, Biotechnologie, Materialwissenschaft, Photovoltaik und chemisches Engineering. Diese Interessen stehen in enger Übereinstimmung mit DuPonts strategischen Prioritäten wissenschaftsbasierter Innovation in Landwirtschaft und Ernährung, biobasierten Industrials und fortschrittlichen Materialien.

„Forschung und Entwicklung wird zunehmend vernetzter. Das Young Professor Program ist ein hervorragender Weg, sowohl akademische Forschung als auch Industriekooperation zu stärken, indem vielversprechende junge Fakultätsmitglieder unterstützt werden“, sagte Douglas Muzyka, Senior Vice President und Chief Science and Technology Officer von DuPont. „Interaktionen mit diesen Forschern werden die Kreativität der DuPont-Wissenschaftler und -Ingenieure, die Spitzenforschung betreiben, weiter anregen.“

Das Programm wird von DuPonts Science and Innovation Organization verwaltet und hilft vielversprechenden jungen und nicht-tenurierten Forschungsdozenten, ihre Forschungskarrieren zu starten. Zudem unterstützt es DuPonts strategisches Ziel, die Geschäftshorizonte durch die Förderung aufstrebender Wissenschaften zu erweitern, die sowohl aus dem Unternehmen als auch von Forschungspartnern stammen. Das Programm reicht bis 1918 zurück, als Pierre S. du Pont 42 US-Universitäten auswählte und Stipendien für junge Fakultätsmitglieder bereitstellte. Seit 1968 hat das Programm über 50 Millionen Dollar an mehr als 700 junge Professoren an 150 Institutionen in 19 Ländern vergeben.

Mitglieder der Young Professors Class of 2016 sind führende Wissenschaftler an acht weltweit führenden Universitäten. Die Preisträger 2016 sind:

• Rupert J. Baumgartner, Institute of Systems Sciences, Innovation and Sustainability Research, Universität Graz, Österreich;
• Shelley Claridge, Departments of Chemistry and Biomedical Engineering, Purdue University;
• Candice Hirsch, Department of Plant Agronomy and Plant Genetics, University of Minnesota;
• Tengfei Luo, Aerospace and Mechanical Engineering, University of Notre Dame;
• Peter Nemes, Department of Chemistry, George Washington University;
• Fabien Sorin, Institute of Materials, Ecole Polytechnique Federale de Lausanne (EPFL), Schweiz;
• Ana Velez, Department of Entomology, University of Nebraska-Lincoln;
• Jia Zhu, College of Engineering and Applied Sciences, Nanjing University, China.

TechFront wird herausgegeben von Senior Editor Patrick Waurzyniak.