Forensic Investigations / Fi Blog

Fi Blog

'Stuxnet 2.0' Demo - Bild (c) Dale G. Peterson

Symantec zeigte auf dem Ausstellungsflur der BlackHat eine 'Stuxnet 2.0' Demo. Hierbei hätten Sie das 'Payload', also die 'Nutzlast' des Stuxnet-Codes ausgetauscht. Ebenso wie beim originalen Stuxnet sei die Manipulation des SPS-Codes durch einen Operator nicht zu erkennen, da diese beim Auslesen versteckt würde.

Die 'Nutzlast' könnte Steuerungen auf vielfältige Weise manipulieren. Die trivialste mögliche Manipulation hatte Ralph Langner schon vor einiger Zeit demonstriert . Mit 14 Bytes implementierte er eine simple Zeitbombe, die auf ein bestimmtes Datum wartet, und ab dann einfach das restliche Steuerungsprogramm überspringt. Kleine Ursache, große Wirkung: dies wäre noch schlimmer als ein unkontrollierter Stromausfall an der Steuerung, alle Regelungen kommen zum erliegen, aber der letzte Signalzustand liegt noch an. In diesem Fall kann man nur noch darauf hoffen, dass die physikalischen Sicherungssysteme auch für diesen Fall wie gewünscht greifen. Die Diagnose eines 'unsichtbaren' Fehlers dürfte ebenfalls schwierig werden.


BlackHat Las Vegas 2011 - Embedding Security

BlackHat Las Vegas 2011 - Embedding Security

Jerome "Jay" Radcliffe ist Diabetiker und Hacker. Er trägt eine fest implantierte Insulinpumpe, die per Funk von einem Blutzucker-Messgerät Dosisvorgaben bekommt. Das Messgerät bekommt seine Daten von einem Sensor ("Kontinuierlich messender Glukosesensor "), der ebenfalls im Körper sitzt. Als Hacker interessierte ihn natürlich die Frage, ob es ihm gelingen würde, dieses "menschliche SCADA-System" auszutricksen.

Die richtige Dosierung des Insulins sei durchaus nicht trivial, da der Blutzuckerspiegel einen gewissen Korridor nicht verlassen sollte. Ein zu hoher Blutzuckerspiegel führe zu Kopfschmerzen, verschwommenem Sehen und Schädigung der Nieren. Zu niedriger Blutzuckerspiegel wiederum könne zu Betrunkenheitsgefühl, Ohnmacht, Atem- oder Herzstillstand führen. Eine hohe Insulingabe kann also lebensgefährliche Konsequenzen haben.

Durch Reverse Engineering der Hardware, öffentliche Dokumentation und Patentschriften konnte er die Frequenzen herausfinden, auf denen die Geräte kommunizieren. Mit einer selbst gebauten Arduino-basierten Lösung gelang es ihm, Signale aufzufangen und zu senden. Seine Theorie hat sich voll bestätigt, dass das System in keinster Weise gesichert ist, lediglich eine leicht zu ermittelnde individuelle Gerätenummer muss bekannt sein, um manipulierte Signale abzusetzen.

Im Moment müsse der Patient die Insulindosis noch "manuell" bestätigen. In Zukunft solle die Insulingabe vollkommen automatisch geschehen. Neuere Geräte würden auch teilweise mit Bluetooth arbeiten, was Vor- und Nachteil zugleich seien könne. Bleibt zu hoffen, dass bis dahin auch entsprechende Sicherheit in die Geräte integriert wird.


Man mag es als 'Dummheit' bezeichnen, Automatisierungssysteme ins öffentliche Netz zu stellen, aber es ist nicht unbedingt Dummheit.

Arroganz der Sicherheitsfachleute

Ich halte es da mit Bruce Schneiers Kommentar (deutschsprachiger Bericht bei WinFuture ), der auf eine Untersuchung , wie viele Benutzer gefundene USB-Sticks arglos in PCs einstecken, feststellte, dass dies keine Dummheit wäre. Schließlich seien USB-Sticks doch genau dafür da. Dummheit wäre es, zu versuchen 'darauf zu spielen wie auf einer Okarina ' oder damit 'ein Omelett zubereiten' zu wollen. Er wirft den Sicherheitsleuten Arroganz vor und hält die Untersuchung an sich für sinnlos. Für ihn ist es, als würde man zu der Erkenntnis gelangen '75 Prozent der Menschen, die eine liegen gelassene Zeitung im Bus finden, lesen diese'. Im Hintergrund eines Computersystems gingen jedoch zu viele implizite Dinge vor sich, von denen der Benutzer im Allgemeinen nichts wüsste. Er sieht hier klar die Hersteller in der Pflicht, nicht einfach Programme von potentiell nicht vertrauenswürdigen Datenträgern zu starten. Microsoft hat hier im Übrigen auch gehandelt .

1 Fehler + noch 1 Fehler = 1 Problem

Ähnlich ist es auch im vorliegenden Fall: SPS'en sind dazu gemacht, sie ans Netz anzuschließen, wenn auch nicht unbedingt ans öffentliche Netz. Dennoch geben weder Beschreibung noch die Administrationsoberfläche einen solchen Hinweis ('Sind Sie sicher, dass Sie eine öffentliche IP-Adresse verwenden möchten?'). Auch ein werksseitig individuell pro Gerät gesetztes Passwort gibt es leider nicht ('secure by default'). Wenn zusätzlich noch eine Sicherheitslücke vorhanden ist, und sich die SPS gar noch ohne ein Passwort stoppen lässt ('Denial of Service'), ist das Desaster perfekt.

Die Legende vom 'Air Gap' oder 'Inselnetz'

Selbst ohne öffentlich im Netz erreichbar zu sein, sind Automatisierungssysteme Gefahren ausgesetzt. Gelingt ein Einbruch in das Firmennetzwerk, kann ein Hacker oder eine Schadsoftware von dort auf die Automatisierungssysteme zugreifen. Die Legende vom 'Air Gap', der physikalischen Trennung von Firmennetz und Anlagennetz, wird zwar immer noch hartnäckig propagiert, dürfte jedoch für Anwender komplexerer oder verteilter Anlagen mit Produktionsplanung-Steuerung, Extranet und Koordination mit Zulieferern/Kunden kaum realisierbar sein. Selbst physikalisch isolierte Netzwerke sind nicht ohne Risiko, da über tragbare Rechner und Wechseldatenträger ebenso Schadsoftware eingeschleppt werden kann, nichts anderes war bei Stuxnet der Fall. Vor fast einem Jahr hatte ich über diese und weitere Fakten bereits geschrieben . Wie einer der amerikanischen Kollegen jüngst festgestellt hatte, existiert ein solches 'Air Gap' nicht einmal in den Sicherheits-Leitfäden von SIEMENS oder Rockwell – er spottete 'Can you spot the air gap [...]? Funny, neither can I.'

Fazit

Überall wo Menschen arbeiten, passieren Fehler. Vorausschauendes und verantwortliches Handeln eines Platformanbieters kann jedoch größeren Schaden durch einen solchen Fehler häufig verhindern. Vor allem flächendeckenden Schaden. Platformanbieter und Implementierer sind hier aus meiner Sicht mehr in der Pflicht als der Endkunde, dennoch muss auch der Endkunde seinen Blick für Gefahren schärfen, da er letztendlich auch immer der primär Betroffene sein wird.

Es gibt jedoch in der heutigen vernetzten Welt keine Alternative – Automatisierungssysteme müssen sicher werden. Hört endlich auf, den Kunden die Schuld zu geben.

P.S.: (!) Wer seine S7-300-Firmware schon Ewigkeiten nicht mehr aktualisiert hat, sollte dies schleunigst tun. Auch hier gab es hart-codierte Passwörter ('Backdoors'), die seit heute öffentlich im Netz stehen (ICS-CERT Security Alert 11-204-01B ). Auffindbar für jeden, der es nicht ohnehin schon wusste.


Nach Angriffen auf das Sony Playstation Network , dem Ausspähen von 90.000 Passwörtern des US-Militärs und dem vor kurzem erfolgten Leak von über 2500 Datensätzen mit Namen, Anschriften, Telefonnummern und Email-Adressen von Mitarbeitern und Kontakten des Agrar-Patent-Giganten Monsanto hat Anonymous nun offenbar die Ölindustrie ins Visier genommen.

Zu den Zielen der "#operationgreenrights" genannten Aktion sollen die Firmen Exxon Mobil, ConocoPhillips, Canadian Oil Sands Ltd., Imperial Oil, die Royal Bank of Scotland und "viele andere" gehören. Dies kündigte die Verbindung in einem Video an.

Die Aktivisten beklagen die "Gier" dieser Firmen, die Wildniss in Wüsten verwandeln würden. Gerade die Gewinnung von Öl aus Ölsand steht immer wieder in der Kritik, da sie enorme Mengen an Trinkwasser und Energie verbraucht und schwer aufbereitbares Abwasser hinterläßt.

Die Gruppe hatte in der Vergangenheit bereits den Code des Stuxnet-Wurms in den Umlauf gebracht und auch mit Angriffen auf kritische Infrastrukturen gedroht.

UPDATE 22.07.2011: Offenbar haben die kürzlich erfolgten Verhaftungen mutmaßlicher Anonymous-Mitglieder in den Vereinigten Staaten , den Niederlanden und Großbritannien wenig Wirkung gezeigt. Bei den Verhaftungen in USA ging es behördenangaben zufolge primär lediglich um die DDoS-Angriffe auf den Bezahldienstleister PayPal Ende letzten Jahres. Der Angriff erfolgte als Reaktion auf die Einstellung aller Zahlungsabwicklungen an WikiLeaks. Den übrigen Verhafteten wird Computersabotage in verschiedenen Fällen vorgeworfen.

Nun behauptet die Bewegung via Twitter, in Computersysteme der NATO eingedrungen zu sein und dadurch über ungefähr ein Gigabyte teils vertraulicher Dokumente zu verfügen. Diese sollen teilweise in den nächsten Tagen veröffentlicht werden. Ein angeblich vertrauliches Dokument wurde bereits veröffentlicht, die Echtheit ist bisher jedoch nicht bestätigt.


Laut englischem Bericht des Wired Magazine wurde ein Vortrag auf der Takedown Sicherheitskonferenz in Dallas vergangenen Mittwoch kurzfristig abgesagt, nachdem das Department of Homeland Security (DHS) und SIEMENS Bedenken angemeldet hätten.

In dem Vortrag "Chain Reactions - Hacking SCADA " von Dillon Beresford von NSS Labs und dem unabhängigen Sicherheitsforscher Brian Meixell sollte über vier neu entdeckte Sicherheitslücken in SIEMENS Kontrollsystemen berichtet werden. Mindestens eine der Lücken soll sich eventuell auch auf Kontrollsysteme anderer Hersteller auswirken.

Dem Bericht zufolge nach geht es -im Unterschied zu den von uns entdeckten Sicherheitslücken - um Sicherheitsprobleme direkt in Speicherprogrammierbaren Steuerungen (SPS) . SIEMENS würde noch an Sicherheitsupdates arbeiten und hätte zwischenzeitlich eine Methode gefunden, die die Ausnutzung der Sicherheitslücke verhindern sollte. Beresford konnte diese Methode nach eigenen Angaben jedoch ohne Weiteres ebenfalls überlisten, irgendwie ein "Déjà Vu" für mich.

NSS Labs hätte betont, das es entgegen der Gerüchteküche auf Twitter keinen juristischen Druck seitens des Department of Homeland Security (DHS) oder SIEMENS gegeben hätte und man die Entscheidung, den Vortrag abzusagen, frei aus eigenen Erwägungen getroffen hätte. Dies ist womöglich eine weise Entscheidung.

Fi Untersuchung: meherere Dutzend SPS frei zugänglich im Netz!

Noch vor kurzem hatte ich bei einer kurzen Websuche mehrere Dutzend Webadministrationsoberflächen von SPS'en frei zugänglich in Netz gefunden. Stichproben ergaben, dass einige Administrationsoberflächen noch nicht einmal durch ein Kennwort gesichert waren – darunter unter anderem mehrere Energieversorger und Unternehmen der Lebensmittelindustrie. Über diese Oberflächen wäre es direkt möglich gewesen, die Steuerungen herunterzufahren oder -schlimmer- manipulierte Firmware einzuspielen. Ein sträflicher Leichtsinn der mich in größtes Erstaunen versetzt hat.

Fazit

Es bleibt abzuwarten, um welche Mängel es sich hier tatsächlich handelt. Womöglich sind dies auch einige, die schon lange Zeit bekannt sind, ohne dass es jemanden zu interessieren scheint. Das mit den frei zugänglichen Administrationsoberflächen ist prinzipiell auch ein Fehler des Herstellers, zumindest einer, den der Hersteller einfach vermeiden könnte. Hersteller, die WLAN-Router für unter 100€ verkaufen, machen vor, wie es gehen könnte ;)

Das Idaho National Laboratory und SIEMENS haben sich bei Ihrer großen Security-Untersuchung 2008 mit Millionenetat und allem erdenklichen Equipment wahrscheinlich nicht gerade mit Ruhm bekleckert. Meines Erachtens nach hat sich selbst fast ein Jahr nach Stuxnet nichts Wesentliches getan. Die von uns entdeckten Sicherheitsprobleme sind unserer Kenntnis nach weiterhin nicht behoben, jedenfalls hat man es nicht für nötig erachtet, eine eventuell vorhandene Lösung mit uns zusammen zu verifizieren.

UPDATE 26.05.2011: Bisher ist lediglich öffentlich bekannt, dass Dillon Beresford die Mängel zumindest in kleineren S7-1200-Steuerungen belegen konnte, die wohl kaum in hochsensitiven Bereichen eingesetzt werden. Es bleibt abzuwarten, ob davon auch größere Systeme betroffen sind, bei denen ein potentiell hoher Schaden entstehen könnte. Offenbar ist man sich seiner Sache aber selbst nicht so sicher, sonst hätte man Beresford wohl nicht dazu bewegen müssen, seinen Vortrag abzusagen.

Unterbleibt eine klare Kommunikation, entstehen Spekulationen und Bedenken. Zudem wurden die Sicherheitsmängel als „durch Außenstehende schwer zu beurteilende“ „unter Laborbedingungen entstandene“ „Unregelmäßigkeiten“ bagatellisiert, die bei „normalen IT-Sicherheitsmaßnahmen kein Risiko darstellen“ und „nicht leicht von jedermann auszunutzen“ seien. Statt dieser äußerst wackeligen Argumentationsweise wäre es womöglich angebrachter gewesen, konstruktiv Risiken, betroffene Systeme und Konfigurationen sowie Möglichkeiten zur Schadensbegrenzung zu nennen und eine Problemlösung anzupacken.

Laut Beresford sei es bei den betroffene(n) Steuerunge(n) möglich

  • sie zu stoppen, sodass lediglich eine Unterbrechung der Stromzufuhr die Steuerung wieder aktivieren kann (DoS )
  • den Speicher auszulesen und zu beschreiben
  • eine Reprogrammierung durchzuführen

UPDATE 15.06.2011: Wie schon gemutmaßt betrifft das Problem S7-1200 Steuerungen (ICS-CERT Security Alert 11-161-01 , SIEMENS Security Advisory 625789 , Updates ). Die S7-1200 ist ohne das Update anfällig für das Abspielen aufgezeichneter Passwortfolgen ("Password-Replay") und kann zudem durch "Denial of Service (DoS)"-Attacken lahm gelegt werden. Das ICS-CERT konnte die Beseitigung der Probleme durch das Update bestätigen.

UPDATE 06.07.2011: Nun meldet das ICS-CERT (ALERT 11-186-01 ), dass die Passwort-Replay-Attacken offenbar doch nicht nur S7-1200er Steuerungen betreffen, sondern auch alle Modelle der S7-200er, S7-300er, und S7-400er Serien. Dies ist dem Hersteller seit 8 Wochen(!) bekannt oder wäre seitdem zumindest in 10 Minuten ermittelbar gewesen. Besonders für die größeren S7-400er hätte ein Update aufgrund der Einsatzbereiche wesentlich höhere Priorität gehabt als für die S7-1200er-Serie, bei der das Problem mittlerweile behoben ist. Hinzu kommt, dass selbst jetzt weder beim SIEMENS CERT noch auf dem Industrial Security-Portal des Herstellers vor dem Problem gewarnt wird. Das ist es, was ich mit unklarer Kommunikation und mangelnder Transparenz meinte.

UPDATE 04.08.2011: Auf der Industrial Security Seite hat SIEMENS mittlerweile einen Hinweis eingefügt, dass auch Modelle der S7-200er, S7-300er und S7-400er Serien mit ähnlichen Problemen zu kämpfen haben wie die S7-1200er Modelle. Updates stehen noch aus.

Durch die Berichterstattung zur laufenden BlackHat-Konferenz ist das Thema von offen im Internet zugänglichen Automatisierungssystemen hochgekocht, das eigentlich nur eine "Randnotiz" dieses Blog-Artikels war. Dies ist natürlich erst einmal eine Fehlkonfiguration seitens des Kunden bzw. Implementierers. Die Hersteller hätten jedoch leicht die Möglichkeit, die Geräte so vorzukonfigurieren, dass selbst eine solche Fehlkonfiguration nicht zum Desaster führen kann. Es ist häufig eine Verkettung von Fehlern auf seiten der Hersteller und der Benutzer, die zu einem potentiell angreifbaren System führen.

UPDATE 19.08.2011: Aktuellere Erkenntnisse hier , fortlaufende Berichterstattung im Blog .

Read this article in English - Google Translate sry for bad English!


Diesen Monat haben zwei Institutionen unabhängig voneinander Studien zur IT-Sicherheit in der Energiewirtschaft bzw. in der Energie- und Wasserwirtschaft veröffentlicht. Deren wichtigste Ergebnisse will ich im Folgenden zusammenfassen und einordnen. Insgesamt waren die Ergebnisse aus meiner Sicht wenig überraschend.

Q1 Labs/Ponemon Institute Studie

In einer von Q1 Labs und dem Ponemon Institute durchgeführten Studie wurden international 291 zufällig ausgewählte IT-Verantwortliche aus der Energiewirtschaft befragt. Die Studie kommt u.a. zu folgenden Ergebnissen:

  • 75% der Organisationen hätten mindestens einen erfolgreichen Cyberangriff in den letzten 12 Monaten verzeichnet
  • 71% der IT-Verantwortlichen sagten, Ihr Management verstünde oder würdige IT-Sicherheit nicht
  • 72% sagten, bisherige Ansätze seien nicht effektiv, aussagekräftige Daten über tatsächliche oder mögliche Attacken (z.B. Echtzeitalarme, Bedrohungsanalysen und Priorisierung) zu erhalten
  • nur 21% glaubten, dass ihre existierenden Mechanismen ausreichend seien, um Attacken aus SmartGrids oder von SmartMeter -verbundenen Geräten zu verhindern
  • nur 39% glaubten, gegen Advanced Persistent Threats (APTs ) ausreichend abgesichert zu sein
  • 67% seien eigenen Angaben zufolge nicht auf dem aktuellen "Stand von Wissenschaft und Technik "

McAfee/CSIS Studie

In einer zweiten, von McAfee und dem Center for Strategic and International Studies (CSIS) durchgeführten Studie wurden die Antworten von 200 zufällig ausgewählte Führungspersonen privater Betreiber aus der Energie- und Wasserwirtschaft in insgesamt 14 Ländern analysiert. Um einen vollständiges Bild erfassen zu können, habe ich die Veröffentlichung der gesamten Studie in der Woche vor Ostern abgewartet, statt die auszugsweise Vorab-Berichterstattung anderer Medien aufzugreifen.

Mehr Erpressungen, mehr Angriffe, neue Risiken

  • 25% wären Opfer von Erpressungen innerhalb der letzten 24 Monate geworden, 2009 lag die Zahl noch bei 20%. Regional angeführt würde die Statistik von Mexiko und Indien, wo gar 80% bzw. 60% Opfer von Erpressungen gewesen seien.
  • die Frequenz der Angriffe steige
  • die Einführung von SmartGrids und SmartMetering würde das Risiko zusätzlich erhöhen

Stuxnet: Infektionszahlen und Konsequenzen

Der berüchtigte Stuxnet-Wurm sei

  • bei rund 40% aller befragten Unternehmen gefunden worden
  • mit 46% aller Unternehmen sei die Elektrizitätsbranche besonders betroffen gewesen
  • Spiegel Online hatte unter Berufung auf McAfee vorab berichtet , in Deutschland seien gar 59% der Energie- und Wasserversorger befallen gewesen; in der Studie selbst finden sich jedoch keine auf Länder heruntergebrochenen Zahlen.

Die größten Konsequenzen aus dem Stuxnet-Vorfall seien in den Vereinigten Arabischen Emiraten, Italien und Japen gezogen worden, die vergleichsweise geringe Infektionszahlen gehabt hätten. Diese gehören jedoch zu den Staaten, die lt. der Studie allgemein die meisten Sicherheitsmaßnahmen implementiert hätten, mehr dazu im Folgenden.

Risikoeinschätzung der Branche und Realität

  • Malware: fast 80% sähen sich "sehr gut" oder "gut" vorbereitet, dennoch wurden 40%+ alleine Opfer von Stuxnet (Gesamtzahlen inklusive anderer Malware liegen leider nicht vor). Hinzu kommt, dass Stuxnet über ein Jahr sein Unwesen treiben konnte, ohne das irgendjemand etwas bemerkt hatte. Gute Vorbereitung sieht m.E. anders aus.
  • Netzwerkeinbrüche: knapp über 60% sähen sich "sehr gut" oder "gut" gewappnet, dennoch wurden 85% Opfer eines solchen Angriffs. Die o.g. Einschätzungen aus der Ponemon-Studie scheinen ebenfalls ein deutlicher Widerspruch zu diesem Wert zu sein.
  • Denial of Service (DoS ): lediglich ca. 50% sähen sich "sehr gut" oder "gut" vorbereitet, 80% wurden in der Praxis mit dem Problem konfrontiert, über die Auswirkungen gibt es aber leider ebenfalls keine Daten.

Erstaunlich finde ich hier, dass sich 80% bzw. 60% Malware und Netzwerkeinbrüchen entspannt gegenüber sehen, während dies bei der aus meiner Sicht wesentlich geringeren und einfach zu beseitigenden Gefahr der DoS-Attacken nur bei 50% der Fall ist. M.E. zu Recht werden in der Studie DoS-Attacken als "Kinderkram" bezeichnet, verglichen mit moderner Malware.

Besonders bei den Themen Malware und Netzwerkeinbrüchen legen die Zahlen auch eine deutliche Schere zwischen "gefühlter" und "realer" Sicherheit nahe. Dies bestätigt meine schon häufig geäußerte Beobachtung eines überzogenen Glaubens an Firewalls und Virenscanner .

Regional gibt es ebenfalls interessante Beobachtungen:

  • in Brasilien, wo 2005 und 2007 große Stromausfälle beobachtet wurden, die nicht wenige Experten auf Malware-Befall zurückführen, fühlen sich 91% unvorbereitet für Malware-Attacken
  • in Australien, wo große Aufklärungskampagnen in Sachen Cybersecurity und Schutz kritischer Infrastrukturen seitens der Regierung durchgeführt wurden, fühlten sich 90% unvorbereitet auf Netzwerkeinbrüche

Umsetzung von Sicherheitsmaßnahmen zu langsam

Alle Branchen hätten die Sicherheitsmaßnahmen seit 2009 erhöht. Gemessen wurde hier jedoch nur die Zahl der eingesetzten Technologien, nicht jedoch deren Effizienz, Ausgewogenheit oder technische und organisatorische Umsetzung. Diese Zahlen können also nur als Anhaltspunkt zur Sicherheitslage gesehen werden und geben nicht unbedingt direkt Auskunft über das absolute Sicherheitsniveau.

  • die Wasserver- und Entsorgungsbranche hätten nominell die meisten zusätzlichen Maßnahmen von 38% auf 46% verzeichnet, bildeten aber dennoch weiter das Schlusslicht unter den untersuchten Branchen
  • Öl und Gas hätten nominell von 45% auf 48% zugelegt
  • die Elektrizitätsbranche hätte sich von 50% auf 51% nominell lediglich minimal gesteigert

Die Studie kommt dabei zu dem Schluss, dass die Adaption von Sicherheitstechnologien mit dem Fortschreiten der Bedrohungslage nicht Schritt halten könne.

Regional gibt es ebenfalls signifikante Unterschiede:

  • China (59%), Italien (55%) und Japan (54%) führten die Statistik an
  • Mexiko, Frankreich und Brasilien bildeten die Schlusslichter
  • die restlichen Staaten, u.a. Deutschland, lägen im Mittelfeld um 43%

Staatliche Kontrolle und Regulierung

Staatliche Audits sind in vielen Ländern in unterschiedlichem Ausmaß üblich.

  • Japan (100%), China (70%) und die Vereinigten Arabischen Emirate (ca. 65%) hätten hier die höchsten Quoten
  • Deutschland läge mit 40% abermals im Mittelfeld
  • die geringste Anzahl staatlicher Audits fänden in Italien, den Vereinigten Staaten, Spanien und im Vereinigten Königreich statt

Interessanter Weise stiege das Vertrauen in staatliche Institutionen mit der Dichte der Kontrollen. Einen Ausnahmestatus hätte das japanische Modell inne, bei dem man durchgängig auf "Public-Private Partnerships" setzte, die die Autonomie der Infrastrukturbetreiber ausdrücklich anerkennen, und eher motivieren statt regulieren möchten.

Staaten als Bedrohung

Die Unternehmen befürchteten auch Spionage oder Sabotage fremder Staaten. Dies ist nicht verwunderlich, können Cyberwaffen doch – im Gegensatz zu konventionellen – mit relativ geringem Budget auch von kleineren Staaten hergestellt werden, und ohne wesentlich erhöhten Aufwand mehrere Ziele parallel anvisieren.

  • China (30%), Russland (16%), die Vereinigten Staaten (12%) und Nordkorea (11%) würden global am häufigsten gefürchtet
  • die deutlichste Veränderung hätte sich bei den Vereinigten Staaten (12%) ergeben, die 2009 noch von 36% gefürchtet worden wären

Naturgemäß gibt es besonders hier regional signifikante Unterschiede

  • in China sähen 3/4 die Vereinigten Staaten als größte Gefahr
  • in Japan hätten 2/3 aller Befragten China oder Nordkorea als am gefährlichsten benannt
  • in den Vereinigten Arabischen Emiraten sähen 2/3 die Nachbarn im Mittleren Osten mit Argwohn
  • in Australien sähe man Russland als größte Bedrohung (40%)
  • in Indien fürchtete man erstaunlicher Weise das Vereinigte Königreich (fast 1/3) deutlich mehr als China (14%)

Fazit

Mit zunehmender Aufklärung oder praktischer Konfrontation mit einem konkreten Problem steigt auch das Risikobewusstsein der Unternehmen. Dies untermauern auch die o.g. Beispiele von Brasilien und Australien. Nicht selten sind auch Kommunikationsprobleme zwischen IT-Bereich und Management die Ursache für mangelnde oder wenig sinnvolle Investitionen in die Sicherheit, was auch die Ponemon-Studie verdeutlicht.

In unseren Security Audits und Penetrationstests setzen wir theoretische Szenarien praktisch um und veranschaulichen damit, wie ein Angriff durch Insider, Hacker oder Schadsoftware ablaufen würde und welche Konsequenzen dies hätte. Hieran lassen sich die Effizienz vorhandener Sicherheitstechnik oder geplanter Anschaffungen praktisch erfassen und eventuell vorhandene Schutzlücken aufdecken. IT-Abteilungen können so Ihr Management effektiv von der Notwendigkeit einer Maßnahme überzeugen. Umgekehrt kann das Management den Nutzen der Maßnahmen der IT-Abteilungen direkt nachvollziehen. Nehmen Sie Kontakt mit uns auf, gerne beraten wir Sie individuell, schulen Ihre Mitarbeiter, oder geben verbindliche Gutachten (z.B. herstellerneutrale Produktvergleiche, Aufwand/Nutzen, Machbarkeit, Strategieempfehlungen) zu geplanten Maßnahmen ab.


Das (schwarze) Lamm

Bild (c) Don & Tonya Christner

Gestern berichtete heise online über aktuell aufgetauchte Sicherheitslücken in SCADA-Produkten . Luigi Auriemma hat eine Liste mit 35 Schwachstellen in SCADA-Produkten von SIEMENS Tecnomatix (FactoryLink ), Iconics (Genesis32 und Genesis64), 7-Technologies (IGSS ) und DATAC (RealWin ) veröffentlicht.

Der Löwe

Desweiteren hat Gleg Ltd. das Agora SCADA+ Pack herausgegeben, das neben öffentlich bekannten Sicherheitslücken auch 9 Zero-Day-Exploits enthält. Davon betroffen sind u.a. Produkte von Atvise , ClearSCADA , DataRate und InduSoft .

Der schlafende Drache

Im Januar dieses Jahres war die Sicherheitspolitik des Herstellers WellinTech, der die hauptsächlich im chinesischen Markt verbreitete Prozessvisualisierungs-Software KingView vertreibt, öffentlich in die Kritik geraten. Dieser wusste offenbar seit September letzten Jahres um die Sicherheitslücken in seinen Produkten. Erst die Veröffentlichung eines Exploits konnte den "schlafenden Drachen" dazu bringen, seine Sicherheitsprobleme zu beseitigen . Offenbar war jedoch nur ein Kommunikationsproblem dafür verantwortlich, dass der Fehler nicht früher beseitigt wurde. Inzwischen ist jedoch ein weiterer Exploit für das Produkt öffentlich geworden, zu dem es meiner Kenntnis nach keine Berichterstattung gibt. Auch der Status einer Fehlerbehebung ist unbekannt.

Der (ebenfalls schlafende?!) Dickhäuter

Die von uns entdeckten Sicherheitslücken in SIEMENS SIMATIC WinCC & PCS7 sind durch das Sicherheitsupdate (Stand SP1 von Ende Januar 2011) nach wie vor nicht geschlossen.

Advisory-Panne: Wenigstens hat man das völlig unübersichtliche Advisory bereinigt; dabei "bereinigt" wurde auch die neuste Version des Sicherheitsupdates, über die Seite ist nurmehr eine Vorgängerversion Stand Oktober 2010 erreichbar. Eine deutliches Indiz, dass der Hersteller in dem Chaos wohl selbst die Übersicht verloren hat.

Was lange währt wird ... schließlich doch nichts? Die Zeitspanne, mehr als ein halbes Jahr (Juni 2010 bis Januar 2011) an einem Sicherheitsupdate "herumzudoktoren", dass sich dann immer noch in 60 Sekunden umgehen lässt, stellt wohl eine traurige Rekordmarke dar.

Hack me, yes you can! Aber es kommt noch dicker: die Passwörter, die die Ausnutzung des WinCC-Datenbank-Bugs ermöglichen, sind nun wieder frei für jedermann in einem SIEMENS-eigenen Forum zu lesen - obwohl dieser Eintrag zwischenzeitlich bereits gesperrt war. Eine wirklich herausragende Glanzleistung.

Neuer Zero-Day Nebenbei bin ich -quasi zufällig- noch über eine weitere Zero-Day-Lücke durch einen gravierenden Design-Fehler in den Produkten gestoßen, die in unter 10 Minuten gefunden war. Wer sich mit dem Thema schon beschäftigt hat weiß, dass es normalerweise Stunden, Tage oder gar Wochen dauern kann (und sollte), solche Fehler zu finden.

Es bleibt abzuwarten, ob und in welcher Zeit diese Hersteller ihre Sicherheitsprobleme beheben. Falls Sie eines der o.g. Produkte einsetzen und um Ihre Sicherheit besorgt sind, wenden Sie sich gerne an uns. Wir können prüfen, ob Sie von den entsprechenden Lücken betroffen sind und ggf. Maßnahmen zur Beseitigung oder Abmilderung des Risikos anbieten oder ausarbeiten.

UPDATE 25.03.2011: Kaum geschrieben, schon sind weitere Lücken aufgetaucht: betroffen sind BroadWin (WebAccess ), CSE-Semaphore (T-BOX ) RTUs und Ecava (IntegraXor SCADA/HMI ). Während Ecava brav war, und einen Fix veröffentlicht hat, meint BroadWin offenbar auch, den Fehler verneinen zu können, woraufhin ein Exploit veröffentlicht wurde.

UPDATE 04.04.2011: In SIEMENS Tecnomatix FactoryLink sind weitere Lücken entdeckt worden, nur wenige Tage nachdem bei den oben angesprochenen nachkorrigiert wurde (ICS-CERT Advisory 11-091-01 , SIEMENS Advisory SSA-630126 , Updates ). Ob diese Updates die Mängel zuverlässig beseitigen, ist weder dem ICS-CERT noch uns bekannt, da uns weder die Software noch ein Auftrag zur Prüfung vorliegt. Details zu den neuen Lücken liegen noch nicht öffentlich vor.

Ebenfalls unbekannt ist, wie viele weitere Sicherheitsmängel sich noch in dem Produkt befinden. Es spricht schon Bände, wenn ein Sicherheitsforscher innerhalb von 2 Manntagen mit einfachsten Mitteln bereits 6 hochgefährliche Lücken entdecken konnte. Wenn dann aber kurz nach der Veröffentlichung eines Updates ein weiterer Forscher innerhalb von Minuten noch weitere gleich geartete Lücken findet, deutet dies m.E. auf generelle systemische Mängel im Sicherheitsmanagement hin. Bei Microsoft etwa ist es selbstverständlich, ähnliche Fehler im Zuge eines Updates ebenfalls zu beseitigen. Im README zum Update heißt es bezeichnend "this module is being made available AS IS WITH NO WARRANTY OF ANY KIND" – das macht Mut.

Interessanter Weise befindet sich der Link zum FactoryLink-Advice auch noch völlig unvermittelt inmitten des Stuxnet-Advisories , bei dem es ja um ein völlig anderes Produkt und um eine völlig andere Problematik geht. Womöglich ist das ein neues Kommunikationskonzept "Confusion redefined" ;-)

UPDATE 14.04.2011: Nun kommen auch noch das Honeywell ScanServer ActiveX Control (ICS-CERT Advisory 11-103-01 , Updates ) und das Invensys Wonderware InBatch Client ActiveX Control (ICS-CERT Advisory 11-094-01 , Invensys Security Bulletin LFSEC00000054 , Updates ) hinzu. Beide Fehler sind lt. ICS-CERT mit den vorgenannten Updates behoben. Die Nummerierung lässt erahnen, dass demnächst noch so einiges folgt...

UPDATE 19.04.2011: Iconics hat ebenfalls reagiert und schließt in Genesis32 und Genesis64 die 13 ursprünglich entdeckten sowie eine weitere, nachträglich entdeckte Sicherheitslücke (ICS-CERT Advisory 11-108-01 , Updates ). Das ICS-CERT konnte die korrekte Fehlerbeseitigung verifizieren.

UPDATE 21.04.2011: DATAC schließt die Sicherheitslücken in RealWin ebenfalls (ICS-CERT Advisory 11-110-01 , Updates ). Das ICS-CERT konnte die korrekte Fehlerbeseitigung verifizieren. Von den Problemen sei nur die Demo-Version betroffen gewesen.

UPDATE 26.04.2011: Gleg Ltd. hat das Agora SCADA+ Pack v1.1 herausgegeben, das neben Exploits zu einigen bekannten Lücken in SIEMENS Tecnomatix FactoryLink, Iconics Genesis32/Genesis64, 7-Technologies IGSS, DATAC RealWin und WellinTech KingView und einer ZeroDay-Lücke in Beckhoff TwinCAT ENI Server v1.1.6.0 enthält.

UPDATE 02.05.2011: 7-Technologies hat Updates zu IGSS veröffentlicht (ICS-CERT Advisory 11-119-01 , Updates ). Die Software kann auch über die Update-Funktion in der Applikation aktualisiert werden. Der Entdecker der Sicherheitslücke hat die korrekte Fehlerbeseitigung durch das Update bestätigt.


Die Hackercommunity "Anonymous" geriet im Zusammenhang mit den Angriffen auf Paypal , Visa, MasterCard und andere erstmals in den Fokus der Medien. Diese Angriffe erfolgten als Reaktion auf die Einstellung der Transaktionen für die Enthüllungsplattform WikiLeaks durch diese Unternehmen.

Die der US-Regierung nahestehende Sicherheitsfirma HBGary kündigte die angebliche Veröffentlichung der Klarnamen der Mitglieder der Hackercommunity an und wurde daraufhin selbst angegriffen . Dabei wurde die Website des Unternehmens Ziel eines sogenannten Defacements , über das gehackte Twitter-Konto von HBGary's CEO Aaron Barr wurden kompromitierende Nachrichten sowie das Dokument mit den angeblichen Mitgliedern verbreitet . Sämtliche Server des Unternehmens seien abkopiert und anschließend gelöscht worden.

Unter den entwendeten Daten befanden sich auch über 75.000 Emails, die zwei Schritten veröffentlicht wurden. Einige Quellen berichten, aus diesen Emails ginge hervor, HBGary sei unter anderem an der Vermietung von Botnetzen und der Entwicklung eines geheimen Rootkits mit dem Codenamen "Magenta" beteiligt, und habe versucht, die Untersuchung des Stuxnet Wurms zu behindern.

HBGary sei inzwischen 'untergetaucht' und habe seine Beteiligung an der RSA-Konferenz abgesagt . Die ehemaligen Kooperationspartner Palantir und Berico haben sich inzwischen von HBGary und den weiteren Plänen zur 'Unschädlichmachung' von WikiLeaks distanziert. Weitere Hintergründe bei heise online.

Als weitere Drohung hat Anonymous nun den Quellcode des Stuxnet Wurms für jedermann frei zugänglich ins Netz gestellt . Es ist damit leichter denn je, eine Neuauflage des Wurms in den Umlauf zu bringen. Die Veröffentlichung ist diesmal real und kein bloßes Gerücht .

Neue Sicherheitslücken, die zur Infektion von Systemen verwendet werden können, werden immer wieder bekannt, jüngst beispielsweise der bisher unbehobene Fehler in Windows-Dateifreigaben . Zudem sind alle SIEMENS PCS7 und WinCC Systeme unseres Wissens nach wie vor über die von uns entdeckten Sicherheitslücken angreifbar, mehr als ein halbes Jahr nach dem wir SIEMENS davon berichteten. Weitere Sicherheitsmängel wollte man sich bis heute nicht einmal anhören. Dennoch sind viele Kunden in der Industrie augenscheinlich erstaunlich entspannt.


BlackHat DC 2011 - "Master Offense"

Das sich Schadsoftware über Wechseldatenträger verbreiten kann, dürfte spätestens seit Stuxnet bekannt sein. Auch unter Linux war es möglich –entsprechende Fehlkonfiguration vorausgesetzt – Rechner durch bloßes Verbinden von USB-Geräten zu hacken .

Die Autostart-Funktion von Betriebssystemen wie Windows zu unterbinden ist nur die offensichtlichste und weithin bekannte Methode zur Linderung des Problems. Microsoft hat dem Problem inzwischen auch Rechnung getragen und die Autostart-Funktion teilweise zu Grabe getragen .

Im Falle des von Stuxnet bekannten 'LNK-Bugs' war auch das Deaktivieren der Autostart-Funktion nicht ausreichend. Zu viele Prozesse laufen implizit im System ab, die der normale Anwender nicht mitbekommt.

Nun haben Angelos Stavrou und Zhaohui Wang auf der BlackHat DC 2011 eine weitere Methode gezeigt, wie sich Rechner durch ein SmartPhone hacken lassen. Das SmartPhone gibt sich gegenüber dem Rechner als Tastatur (USB HID ) aus und kann so Kontrolle über den Rechner erlangen, ohne das der Benutzer eine Möglichkeit zum Eingriff hätte. Statt eines SmartPhones ließe sich auch ein winziges USB-Gerät bauen, das die gleiche Funktion erfüllen könnte.

Selbst eine Endpoint Protection Lösung verhindert diesen Angriff in der Regel nicht, da die Geräteklasse USB-HID normalerweise standardmäßig von allen Beschränkungen ausgenommen ist.

In sensitiven Umgebungen empfiehlt es sich deshalb wenn möglich USB oder andere Hot-Plug Schnittstellen generell abzuschalten. Alternativ lassen sich bei einigen Endpoint Security Lösungen – genauso wie für Wechseldatenträger – Seriennummern für erlaubte USB-HID-Geräte hinterlegen. Jedoch stellen leider nicht alle USB-Tastaturen Seriennummern zu Verfügung um dies zu ermöglichen. Eine Beschränkung auf Hersteller-ID und Typ-ID wird ohne jeden Wert sein, da ein Angreifer mit physikalischem Zugang sicher auch Hersteller und Typ der Tastaturen erkennen wird und somit alle nötigen Daten besitzt.


BlackHat DC 2011 - "Master Offense"

Obwohl ich mit der Berichterstattung sehr hinterher hinke, und noch nicht einmal alle Artikel zum 27. Chaos Communication Congress fertiggestellt habe, hier dennoch vorab der erste Kommentar zur gestern zu Ende gegangenen BlackHat DC 2011 Sicherheitskonferenz.

Wirklich ein 'Meisterwerk'?

Tom Parker erläuterte kürzlich , dass der Code von Stuxnet keinesfalls so ausgeklügelt sei, wie vielfach in den Medien berichtet. Für die aufmerksamen Leser dieses Blogs ist das nichts wirklich Neues; bereits im Oktober hatte ich beispielsweise berichtet , dass der Wurm über keine besonders ausgeklügelte Rootkit -Technologie verfügt und sich sehr leicht entfernen lässt.

Der Embedded Systems Security-Spezialist Nate Lawson kommentierte deshalb m.E. zu Recht, dass er entsprechende Techniken schon in den 90er Jahren von "bulgarischen Teenagern" gesehen hätte.

Anti-Forensische Maßnahmen nicht einmal durschnittlich

Wie Parker wiederum richtig ausführt, enthält Stuxnet zwar Code, um AntiVirus-Software auszutricksen, aber keine fortgeschrittenen Anti-Debugging-Routinen oder Tricks zur Code-Obfuscation , wie Sie heutzutage in fast jeder Malware gängig sind. Diese Tricks können eine Analyse des Programmcodes wesentlich erschweren und verzögern.

Lawson merkt weiterhin zu Recht an, dass Stuxnet keine fortgeschrittenen Design-Patterns wie 'Hash-and-Decrypt' verwendet, bei dem der Schlüssel zum Entpacken der 'Nutzlast' aus Umgebungsparametern zusammengesetzt wird, was eine Entschlüsselung somit nur auf dem tatsächlichen Zielsystem erlaubt hätte. Durch diesen 'Mangel' war es für jedermann leicht möglich, den enthaltenen SPS-Schadcode zu analysieren.

Ich ergänze dazu mal noch Folgendes:

  • Stuxnet installiert sich direkt nach dem Exploit des 'LNK'-Bugs, statt eine gewisse 'Inkubationszeit' einzuhalten, um den Infektionsweg zu verschleiern
  • bei der Installation werden ganz unverhohlen Registry-Keys wie "SOFTWARE\SIEMENS\WinCC\Setup" oder "SOFTWARE\SIEMENS\STEP7" abgefragt, womit die SIEMENS-Software sofort als Ziel ausgemacht werden kann. Ein ausgeklügelter Virus würde beispielsweise das 'Programme'-Verzeichnis listen, Hashes von den Namen der Verzeichniseinträge erstellen, und diese dann mit dem Hash der Zeichenkette 'Siemens' vergleichen. Letzteres Verfahren würde nicht in den ersten fünf Minuten der Analyse auffliegen.

Netzwerkkommunikation unterentwickelt

Parker führte auch aus, dass Stuxnet nur über eine vergleichsweise rudimentäre "Command & Control " Struktur verfüge und die Netzwerkkommunikation unverschlüsselt abliefe. Zumindest Ersteres kann ich so bestätigen.

Schlussfolgerung

Sowohl Parker als auch Lawson ziehen den Schluss, dass es eher unwahrscheinlich sei, dass ein westlicher Geheimdienst so dilettantisch seien würde. Es darf auch als unwahrscheinlich gelten, dass die Urheber eine Entdeckung des Wurms billigend in Kauf genommen hätten.

Entgegen dem viel diskutierten, aber wenig substanziierten Bericht der New York Times, die USA und Israel würden hinter Stuxnet stecken und SIEMENS habe unfreiwillig Schützenhilfe geleistet , und den ebensolchen Vermutungen Irans selbst , halte ich diese Theorie zumindest für wesentlich schlüssiger begründet, die der Autor Jeffrey Carr auch nochmals verteidigt hat .

Zumindest das Ziel des Angriffs dürfte in der Fachwelt mittlerweile weitgehend unstreitig sein.



Hier finden Sie aktuelle Themen und Hintergründe rund um Sicherheit, Internet und Recht, das Sachverständigenwesen und die Computer-Forensik.

Mon Di Mi Do Fr Sa So
            1
2 3 4 5 6 7 8
9 10 11 12 13 14 15
16 17 18 19 20 21 22
23 24 25 26 27 28 29
30 31