Evil PLC-Attacke: Neue Angriffstechnik gegen Industrieanlagen macht SPS zur Waffe

Anbieter zum Thema

Heidrive GmbH

CADFEM Germany GmbH

CAD+T Solutions GmbH

Die neue Angriffstechnik namens „Evil PLC-Attacke“ ließ sich im Rahmen im Rahmen von Proof-of-Concept-Exploits bei sieben renommierten Automatisierungsherstellern erfolgreich durchführen.

• Evil PLC-Attacke: Sicherheitsforscher von Team82 entdecken neue Angriffstechnik gegen Industrieanlagen.

• PLCs können Engineering-Workstations dazu veranlassen, bösartigen Code zur Manipulation von Prozessen oder Ransomware auszuführen.

• Dabei sind die die speicherprogrammierbaren Steuerungen (SPS) der Ausgangspunkt.

Speicherprogrammierbare Steuerungen (SPS) sind unverzichtbare Industriegeräte, die Fertigungsprozesse in allen kritischen Infrastrukturbereichen regeln. Deshalb sind sie ein interessantes Ziel, wie etwa beim Stuxnet Angriff auf das iranische Atomprogramm. Die Sicherheitsforscher von Team82, der Forschungsabteilung des Spezialisten für die Sicherheit von cyber-physischen Systemen (CPS) Claroty, konnten nun nachweisen, dass industrielle Steuerungssysteme nicht nur als Ziel fungieren. Sie lassen sich vielmehr auch als Waffe einsetzen, um Engineering-Workstations für die Verbreitung bösartigen Codes zu nutzen und weiter in OT- und Unternehmensnetzwerke einzudringen. Diese neue Angriffstechnik namens „Evil PLC-Attacke“ konnte im Rahmen von Proof-of-Concept-Exploits bei sieben renommierten Automatisierungsherstellern (Rockwell Automation, Schneider Electric, GE, B&R, Xinje, OVARRO und Emerson) erfolgreich durchgeführt werden. Mittlerweile haben die meisten der betroffenen Hersteller entsprechende Updates, Patches oder Abhilfemaßnahmen gegen Evil PLC-Attacken veröffentlicht.

Hintergrund

Eine SPS ist ein robuster Computer, der zur Steuerung einer Maschine, eines Automatisierungsprozesses oder einer ganzen Produktionslinie eingesetzt wird. Sie empfängt Daten von Sensoren oder Eingabegeräten, verarbeitet diese Daten und löst auf der Grundlage der aktuell geladenen Code-Logik und Parameter bestimmte Ausgaben aus. Neben der Steuerung eines Automatisierungsprozesses dient die SPS auch er Überwachung und Aufzeichnung von Laufzeitdaten. Sie kann zudem automatisch Prozesse starten und stoppen oder Alarme erzeugen, wenn eine Maschine nicht richtig funktioniert. Dabei ist die SPS-Architektur nur für die Steuerung, Unterstützung, Wartung und Überwachung eines Automatisierungsprozesses ausgelegt. Zur Diagnose, Steuerung und Wartung der speicherprogrammierbaren Steuerungen nutzen Techniker Engineering-Workstations. Durch sie ist es möglich, Zustandsprüfungen der SPS durchzuführen, den aktuellen Zustand aller Komponenten einschließlich der Speichervariablen und der physischen Aspekte der Ein- und Ausgabe anzuzeigen, Firmware-Upgrades durchzuführen und die SPS-Code-Logik zu ändern.

Evil PLC-Attacke

Die meisten Angriffsszenarien, bei denen eine SPS beteiligt ist, betreffen den Zugriff auf die Steuerung und deren Ausnutzung. SPS sind attraktive Ziele für Angreifer. Denn typische industrielle Netzwerke verfügen über Dutzende SPS, die verschiedene Vorgänge ausführen. Angreifer, die einen speziellen Prozess physisch stören wollen, müssen dabei zunächst relativ aufwändig die entsprechende SPS identifizieren. Die Sicherheitsforscher folgten jedoch einem anderen Ansatz. Denn sie konzentrierten sich auf die SPS als Werkzeug und nicht auf das Ziel. Sie nutzten also die SPS, um auf die Engineering-Workstation zuzugreifen. Die Engineering-Workstation ist die beste Quelle für prozessbezogene Informationen und hat Zugang zu allen anderen SPS im Netzwerk. Mit diesem Zugang und diesen Informationen kann der Angreifer leicht die Logik auf jeder SPS ändern.

Die schnellste Methode, einen Techniker dazu zu bringen, sich mit einer infizierten SPS zu verbinden, besteht darin, dass die Angreifer eine Fehlfunktion oder einen Fehler in der SPS verursachen. Somit muss der Techniker eine Verbindung herstellen und die Software der technischen Workstation zur Fehlerbehebung verwenden. Im Rahmen der Untersuchung wurde dieser neue Angriffsvektor auf mehreren weit verbreiteten ICS-Plattformen ausgeführt. Dabei fanden die Spezialisten verschiedene Schwachstellen in jeder Plattform. Sie ermöglichten es, die SPS so zu manipulieren, dass bei einem Upload-Vorgang eigens erstellte Hilfsdaten die Engineering-Workstation dazu veranlassen, bösartigen Code auszuführen. So gelang beispielsweise die Infektion der Workstations mit Ransomware über die Steuerungen Schneider Electric M580 und Rockwell Automation Micro800 sowie das Steuerungssystem GE Mark VIe.

Schwachstellen in der Software der Engineering-Workstations

„Wir halten die Evil PLC-Attacken für eine neue Angriffstechnik. Bei diesem Ansatz wird die SPS mit Daten angegriffen, die nicht unbedingt Teil einer normalen statischen/Offline-Projektdatei sind, und die Ausführung von Code bei einem technischen Verbindungs-/Upload-Vorgang ermöglicht“, erklärt Sharon Brizinov, Directory of Security Research bei Claroty. „Bei diesem Angriffsvektor ist das Ziel nicht die SPS, wie es beispielsweise bei der Stuxnet-Malware der Fall war, die die SPS-Logik heimlich veränderte, um physische Schäden zu verursachen. Stattdessen wollten wir die SPS als Dreh- und Angelpunkt nutzen, um die Techniker und Workstations anzugreifen und um tieferen Zugang zum OT-Netzwerk zu erhalten.“ Dabei ist hervorzuheben, dass alle gefundenen Schwachstellen auf der Seite der Engineering-Workstation-Software lagen und nicht in der SPS-Firmware. In den meisten Fällen sind die Schwachstellen darauf zurückzuführen, dass die Software den von der SPS kommenden Daten voll und ganz vertraut, ohne umfassende Sicherheitsüberprüfungen durchzuführen.

Empfehlungen

Alle im Rahmen der Untersuchung identifizierten Schwachstellen wurden den betroffenen Anbietern gemäß der Coordinated Disclosure Policy von Team82 gemeldet. Die meisten Hersteller haben entsprechende Updates, Patches oder Abhilfemaßnahmen gegen eine Evil PLC-Attacke veröffentlicht. Gleichwohl ist es nicht einfach, ein 100-prozentiges Patching-Niveau zu erreichen, insbesondere bei kritischen Infrastrukturen. Daher sind zusätzliche Maßnahmen zur Risikominderung erforderlich, um das Risiko eines Evil PLC-Angriffs zu verringern.

Bei Evil PLC-Angriffen sind die speicherprogrammierbaren Steuerungen der Ausgangspunkt. Deshalb muss der Zugang zu ihnen so weit wie möglich eingeschränkt werden. Sie sollten keinesfalls von außen zugänglich sein oder online gestellt werden. Aber auch der interne Zugriff ist auf autorisierte Ingenieure und Techniker zu beschränken.

Da die Sicherung der Verbindung zu den speicherprogrammierbaren Steuerungen langwierig, aufwändig und bei falscher Umsetzung sogar unwirksam ist, empfehlen die Claroty-Sicherheitsforscher die folgenden Maßnahmen.

Mögliche Maßnahmen gegen Evil PLC-Attacke

• Netzwerksegmentierung und -hygiene. Der erste Schritt zur Sicherung der Verbindung zu den SPS ist die Beschränkung des Zugangs durch eine strikte Segmentierung des Netzwerks. Erlauben Sie den Zugriff auf Ihre SPS nur einer kleinen Gruppe von Engineering-Workstations,. Das reduziert die Angriffsfläche in Ihrem Netzwerk.

• Effektive Client-Authentifizierung. Es ist wichtig, die SPS so zu konfigurieren, dass sie einen Client-Authentifizierungsmechanismus verwendet, um die Identität des Clients (Engineering-Workstation) zu validieren. Derzeit implementieren einige Hersteller solche Kommunikationsprotokolle, bei denen nur eine bestimmte und vordefinierte Gruppe von zertifizierten Engineering-Workstations mit der SPS interagieren kann. So unterstützt B&R beispielsweise die TLS Client-Authentifizierung, die in der Automation Server Engineering Workstation konfiguriert werden kann.

• Public Key Infrastructure (PKI). Eine noch robustere Lösung ist die Verwendung eines umfassenden PKI-Systems zur Validierung und Verschlüsselung des gesamten Datenverkehrs zwischen dem Client (Engineering-Workstation) und dem Server (SPS). Die gegenseitige Authentifizierung (TLS) hilft, das Risiko eines Hackerangriffs auf Ihre OT-Anlagen zu verringern. Allerdings ist PKI in vielen ICS-Produktlinien noch nicht implementiert. Umfassende PKI-Systeme bieten unter anderem Rockwell Automation CIP Security, Siemens TIA v17 und GE ToolsBoxST Secure Mode.

• Überwachung des Netzwerkverkehrs: Der neue Angriffsvektor umfasst die Durchführung von Download- und Upload-Prozeduren zu/von einer SPS. Daher gilt es, den OT-Netzwerkverkehr zu überwachen und insbesondere diese Arten von Ereignissen zu erkennen. Wenn ein solcher Vorgang in einer unerwarteten Situation auftritt, könnte dies auf einen Angriffsversuch hindeuten.

• Auf dem neuesten Stand bleiben. Da sowohl Angreifer als auch Sicherheitsverantwortliche diesen neuen Angriffsvektor weiter erforschen, werden weitere Schwachstellen entdeckt werden. OT-Anbieter werden auch zukünftig entsprechende Patches erstellen. Deshalb ist es wichtig, die OT-Software immer auf dem neuesten Stand zu halten, um sich vor diesen kurzfristigen Schwachstellen zu schützen.

Weitere Informationen finden sich im kompletten Bericht und im entsprechenden Blog-Beitrag von Claroty.

Lesen Sie außerdem: "SmartFactory in Stuttgart: So gelingt die digital vernetzte Fertigung"