Neue Schwachstelle in Siemens SCADA-Software aufgetaucht

Entdeckt wurde die Lücke laut Computerworld vom Sicherheitsanbieter ReVuln, einem auf Malta ansässigen Start-up-Unternehmen. Die Firma demonstriert insgesamt neun Zero-Day-Lücken in einem am Montag veröffentlichten Video.

Nach Angaben des Unternehmens könnten Angreifer die vollständige Kontrolle über ein betroffenes System übernehmen, um Schadcode auszuführen oder auch Dateien herunterzuladen. “Sie können Rootkits oder andere Arten von Malware installieren und vertrauliche Daten wie Passwörter für andere Computer im selben Netzwerk ausspähen”, sagte der Sicherheitsforscher Luigi Auriemma, Gründer von ReVuln.

Die Angriffe lassen sich dem Bericht zufolge von einem anderen Computer im internen Netzwerk und in vielen Fällen auch über das Internet starten. Die meisten Produkte erlaubten laut Bedienungsanleitung eine Fernwartung über das Internet, ergänzte Auriemma. Einige Systeme seien aber auch durch unsichere Konfiguration von außen erreichbar. Die für das Aufspüren von mit dem Internet verbundenen Industriekontrollsystemen entwickelte Suchmaschine Shodan liefere “tonnenweise interessante Ergebnisse über Maschinen großer bekannter Konzerne, die wir momentan aus der Ferne angreifen können.”

Die Details zu den Anfälligkeiten will Auriemma jedoch nicht preisgeben. Auch eine Weitergabe an die jeweiligen Hersteller sei nicht geplant. “Das ICS-CERT hat uns vor wenigen Minuten kontaktiert und nach weiteren Details gefragt, aber wir werden die Informationen nicht veröffentlichen”, sagte der Forscher. “Sie sind Teil unseres Portfolios für unsere Kunden, also werden keine Details öffentlich freigegeben.”

ReVuln gehört neben dem französischen Unternehmen Vupen zu den wenigen Firmen, die Anfälligkeiten an Regierungsbehörden oder Firmen verkaufen. Sie weigern sich, ihre Erkenntnisse mit den jeweiligen Herstellern der Software zu teilen, damit diese entsprechende Fixes erstellen können.

Aufgrund der fehlenden Informationen ist es unmöglich nachzuvollziehen, ob die Sicherheitslücken tatsächlich existieren. Auriemma hat jedoch schon öfter Fehler in SCADA-Lösungen verschiedener Hersteller aufgedeckt und auch öffentlich gemacht, was laut Computerworld den Behauptungen seines Unternehmens eine gewisse Glaubwürdigkeit verleiht.

SCADA steht für Supervisory Control and Data Aquisition. Solche Programme wird in Kraftwerken und anderen kritischen Infrastrukturen eingesetzt. Sie gelten in einem möglichen Cyberwar als besonders gefährdet.

Schwachstellen in Softwareprodukten für Industrieanlagen sind besonders kritisch, gelten sie doch als Einfallstor, über das Hacker die Infrastruktur eines Landes und damit die Wirtschaft extrem schädigen können. Vor allem der Schädling Stuxnet hat hier Geschichte geschrieben. Lecks in den Siemens-Software-Produkten Simatic STEP7 und Simatic WinCC hatten damals den Super-Wurm ermöglicht, der aus der Feder von Israel und USA stammen soll.

Im Interview mit silicon.de hatte Kaspersky-Experte Alexander Gostev, Stuxnet bereits 2010 als Prototyp einer Cyberwaffe bezeichnet. Firmengründer Eugene Kaspersky warnt gemeinsam mit anderen Sicherheitsexperten immer wieder davor, dass es künftig immer mehr Attacken nach Stuxnet-Vorbild geben wird.

[Mit Material von Stefan Beiersmann, ZDNet.de]