Thought Leadership
US-Behörden warnen vor iranischen Hackern, die speicherprogrammierbare Steuerungen von Siemens, Schneider Electric und Rockwell Automation angreifen.
US-amerikanische Sicherheitsbehörden haben einen aktualisierten Sicherheitshinweis zu Cyberangriffen aus dem Umfeld des Iran auf kritische Infrastrukturen veröffentlicht. Die Warnung erweitert die Liste der betroffenen Komponenten von speicherprogrammierbaren Steuerungen (SPS) des Herstellers Rockwell Automation um Geräte von Siemens und Schneider Electric. Konkret melden die Ermittler Angriffe auf die Modelle Rockwell Automation CompactLogix und Micro850, Schneider Electric Modicon M340 (BMX P34) sowie die Baureihe Siemens S7-1200. Die Angriffe richten sich gegen die Netzwerkports 44818, 2222, 102, 502 und 22.
Manipulation von Projektdateien und Deaktivierung von Schutzmechanismen
Die Angreifer verschaffen sich über Drittanbieter-Infrastrukturen und herstellerspezifische Programmiersoftware Zugriff auf die Steuerungsgeräte. Betroffen sind Anwendungen wie Rockwell Automation Studio 5000 Logix Designer, Schneider Electric EcoStruxure Control Expert und Siemens TIA Portal. Die Angreifer laden bestehende Projektdateien herunter, verändern die Anwendungslogik und fügen eigene Befehle ein. Zudem manipulieren sie Datenanzeigen auf Mensch-Maschine-Schnittstellen (HMI) und SCADA-Systemen. Ermittlungsbehörden führten zur Funktionsweise der manipulierten Dateien aus:
„Die Analyse ergab, dass die Projektdatei die Kontaktplanlogik für nachgelagerte Funktionen beibehielt, jedoch Logik hinzufügte, die spezifische Befehlssätze überschrieb, die für die Aufrechterhaltung sicherer Betriebsparameter in der Umgebung des Opfers verantwortlich waren. Zusätzlich deaktivierten die Änderungen kritische Abschalt- und Alarmlogiken, sodass Systeme in unsichere Zustände geraten konnten, ohne die Bediener über die Anomalien zu informieren.“
US-amerikanische Ermittlungsbehörden
Aktive Gruppierungen und betroffene Sektoren
Nach Erkenntnissen der US-Behörden werden die Angriffe im Bereich der betrieblichen Informationstechnik (OT) von staatlich unterstützten iranischen Akteuren durchgeführt, die unter wechselnden Gruppennamen auftreten. Neben der in der Vergangenheit aktiven Gruppe CyberAv3ngers trat zuletzt die Gruppierung Handala in Erscheinung. Die Angriffe richten sich gegen Einrichtungen der öffentlichen Verwaltung, der Energieversorgung sowie der Wasser- und Abwasserwirtschaft.
(red)
