Sie sind hier: Startseite » IT Security » Cyber-Angriffe & Sicherheitslecks

Auf ICS spezialisierte Malware

Neue Malware Frostygoop greift Heizsysteme in der Ukraine an
Bevölkerung wurde zwei Tage der Kälte ausgesetzt

Die OT-Cybersicherheitsexperten von Dragos haben eine neue, auf ICS spezialisierte Malware entdeckt, die offenbar bei einem Cyberangriff auf eine kommunales Fernwärmenetz in der Ukraine im Januar 2024 eingesetzt wurde. Die sogenannte "FrostyGoop"-Malware nutzt das Modbus-TCP-Protokoll, was bedeutet, dass sie zahlreiche Geräte betreffen könnte. Eine forensische Untersuchung zeigte, dass die Angreifer Modbus-Befehle von fremden Hosts aus direkt an die Steuerungsgeräte des Heizungssystems sendeten, was durch fest kodierte Netzwerkrouten erleichtert wurde.

Modbus ist ein hardwareunabhängiges Client/Server-Kommunikationsprotokoll, das 1979 ursprünglich für speicherprogrammierbare Steuerungen von Modicon entwickelt wurde, inzwischen aber auch von anderen Geräten verwendet wird. Das Protokoll beschreibt die Geräteadresse der einzelnen Steuergeräte und lässt sie die für sie bestimmte Nachrichten erkennen und Daten oder zusätzliche Informationen aus den Nachrichten extrahieren. Das Steuergerät erstellt und übermittelt die Antwortnachricht, wenn eine Antwort erforderlich ist, und entscheidet dann über die erforderlichen Maßnahmen.

Bei der Untersuchung des Angriffs wurde festgestellt, dass sich die Angreifer möglicherweise schon Monate zuvor Zugang zum Netzwerk verschafft hatten, indem sie eine nicht näher spezifizierte Sicherheitslücke in einem nach außen gerichtetem Router ausnutzten. Die Angreifer setzten die Firmware der Steuergeräte zurück und installierten eine Version ohne Überwachungsfunktionen, was zum Verlust der Sichtbarkeit führte. Die Angreifer haben dabei nicht versucht, die Steuergeräte zu zerstören. Stattdessen sorgten sie dafür, dass die Steuergeräte falsche Messwerte meldeten, was zu einem fehlerhaften Betrieb des Systems und zum Heizungsausfall bei den Kunden führte.

Was bedeutet dieser Vorfall für die OT-Cybersicherheit?
Die Entdeckung der ICS-Malware FrostyGoop und ihrer Fähigkeiten weckt erhebliche Bedenken hinsichtlich der breiteren Auswirkungen auf die OT-Cybersicherheit. Das gezielte Anvisieren von ICS mit Modbus TCP über Port 502 und die Fähigkeit, direkt auf verschiedene ICS-Geräte zuzugreifen, stellen eine ernsthafte Bedrohung für kritische Infrastrukturen in verschiedenen Sektoren dar.

Die Ergebnisse deuten darauf hin, dass die Fähigkeiten von FrostyGoop weitreichend eingesetzt werden können. Modbus ist in alten und modernen Systemen und in fast allen Industriesektoren eingebettet, was auf ein breites Potenzial zur Störung und Beeinträchtigung wichtiger Dienste und Systeme hinweist.

Problematisch ist vor allem die Fähigkeit von FrostyGoop, über das Modbus-TCP-Protokoll mit ICS-Geräten zu kommunizieren und Befehle zu senden, um Daten auf diesen Geräten zu lesen oder zu ändern. Das ist ein erhebliches Risiko für die Integrität und Funktionalität von ICS-Geräten, mit potenziell weitreichenden Folgen für den industriellen Betrieb und die öffentliche Sicherheit. Der Angriff macht deutlich, wie wichtig grundlegende Cybersicherheitskontrollen sind. Die Tatsache, dass internetfähige Steuerungen und eine unzureichende Netzwerksegmentierung in den Angriff involviert waren, macht deutlich, wie groß die Risiken ohne diese Kontrollen sind. Derzeit kommunizieren weltweit über 46.000 internetfähige ICS-Geräte über Modbus TCP.

Ein proaktiver Ansatz zur Cybersicherheit
Die laufende Beobachtung und Analyse der FrostyGoop-Malware durch Dragos zeigt, wie wichtig eine koordinierte Reaktion in einer dynamischen Bedrohungslandschaft ist. Betreiber von kritischen Infrastrukturen müssen angesichts dieser Entwicklungen den Schutz ihrer ICS-Netzwerke bewerten und priorisieren. Dazu gehört die Einschränkung des Zugriffs auf Modbus-Geräte und die Durchführung gründlicher Netzwerkanalysen, um sicherzustellen, dass sie nicht über das öffentliche Netzwerk zugänglich sind. Eine sorgfältige Überwachung der Netzwerksicherheit, proaktive Verteidigungsmaßnahmen und ein gemeinsamer Informationsaustausch sind entscheidend, um die weitreichenden Auswirkungen von ICS-spezifischer Malware und anderen Bedrohungen einzudämmen. (Dragos: ra)

eingetragen: 29.11.24
Newsletterlauf: 08.01.25

Dragos: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

Meldungen: Cyber-Angriffe

Signatur ist nicht gleich Signatur
Geraten digitale Prozesse immer wieder ins Stocken, weil etwas unterzeichnet werden muss? Dann wird es Zeit, eine moderne Signaturlösung in die eigenen Abläufe zu integrieren. Bereits seit den 1970er Jahren wird immer wieder das papierlose Büro prognostiziert. Lange haben sich diese Prognosen eher als Papiertiger erwiesen, doch heute sind wir näher an der Umsetzung als je zuvor. In Zeiten von Tablets, 5G-Konnektivität und KI-Assistenten sind Ausdrucke für die meisten Büroangestellten eher zu einer Last geworden. Ganz verschwunden sind sie dennoch nicht und dafür sorgt nicht selten das Nadelöhr Unterschrift. Oft brechen an diesem Punkt Prozesse ab, die ansonsten vollständig digital ablaufen.
Identity Lifecycle Management
Wirtschaftliche Veränderungen wirken sich auf nahezu alle Unternehmensbereiche aus. Immer betroffen ist die Belegschaft: Prosperiert ein Unternehmen, stellt es Leute ein, in Zeiten der Rezession versucht es durch Personalentlassungen Kosten einzusparen. In jedem Konjunkturzyklus, sei es Expansion, Rezession oder Erholung, entstehen durch personelle Fluktuation spezifische Herausforderungen für die Verwaltung von Mitarbeiter-, Kunden- und Partner-Identitäten - und somit auch für die IT-Sicherheit. Denn nicht mehr benötigten Nutzerkonten müssen Zugriffsrechte entzogen, neu angelegten solche gewährt werden und das alles in Einklang mit Unternehmens- und Compliance-Richtlinien. Den Lebenszyklus einer digitalen Identität zu verwalten, wird als Identity Lifecycle Management bezeichnet.
Datenklau als primäres Ziel
Das Damoklesschwert Ransomware ist nicht neu, aber es schlägt immer etwas anders aus. Große Akteure wie LockBit und ALPHV/BlackCat sind scheinbar passé, doch in entstehende Lücken drängen neue, noch nicht etablierte Gruppen. Die Ransomware-as-a-Service (RaaS)-Gruppen revidieren zudem ihre interne Arbeitsaufteilung und -organisation. Selbst Staaten wie Russland und Nordkorea entdecken Ransomware als Einnahmequelle.

Bedrohung: QR-Code-Phishing-Angriffe Malware sucht nach Windows-API-Funktionen