Thought Leadership
Die OT-Cybersicherheitsexperten von Dragos haben eine neue, auf ICS spezialisierte Malware entdeckt, die offenbar bei einem Cyberangriff auf eine kommunales Fernwärmenetz in der Ukraine im Januar 2024 eingesetzt wurde.
Die sogenannte “FrostyGoop”-Malware nutzt das Modbus-TCP-Protokoll, was bedeutet, dass sie zahlreiche Geräte betreffen könnte. Eine forensische Untersuchung zeigte, dass die Angreifer Modbus-Befehle von fremden Hosts aus direkt an die Steuerungsgeräte des Heizungssystems sendeten, was durch fest kodierte Netzwerkrouten erleichtert wurde.
Modbus ist ein hardwareunabhängiges Client/Server-Kommunikationsprotokoll, das 1979 ursprünglich für speicherprogrammierbare Steuerungen von Modicon entwickelt wurde, inzwischen aber auch von anderen Geräten verwendet wird. Das Protokoll beschreibt die Geräteadresse der einzelnen Steuergeräte und lässt sie die für sie bestimmte Nachrichten erkennen und Daten oder zusätzliche Informationen aus den Nachrichten extrahieren. Das Steuergerät erstellt und übermittelt die Antwortnachricht, wenn eine Antwort erforderlich ist, und entscheidet dann über die erforderlichen Maßnahmen.
Bei der Untersuchung des Angriffs wurde festgestellt, dass sich die Angreifer möglicherweise schon Monate zuvor Zugang zum Netzwerk verschafft hatten, indem sie eine nicht näher spezifizierte Sicherheitslücke in einem nach außen gerichtetem Router ausnutzten. Die Angreifer setzten die Firmware der Steuergeräte zurück und installierten eine Version ohne Überwachungsfunktionen, was zum Verlust der Sichtbarkeit führte. Die Angreifer haben dabei nicht versucht, die Steuergeräte zu zerstören. Stattdessen sorgten sie dafür, dass die Steuergeräte falsche Messwerte meldeten, was zu einem fehlerhaften Betrieb des Systems und zum Heizungsausfall bei den Kunden führte.
Was bedeutet dieser Vorfall für die OT-Cybersicherheit?
Die Entdeckung der ICS-Malware FrostyGoop und ihrer Fähigkeiten weckt erhebliche Bedenken hinsichtlich der breiteren Auswirkungen auf die OT-Cybersicherheit. Das gezielte Anvisieren von ICS mit Modbus TCP über Port 502 und die Fähigkeit, direkt auf verschiedene ICS-Geräte zuzugreifen, stellen eine ernsthafte Bedrohung für kritische Infrastrukturen in verschiedenen Sektoren dar.
Die Ergebnisse deuten darauf hin, dass die Fähigkeiten von FrostyGoop weitreichend eingesetzt werden können. Modbus ist in alten und modernen Systemen und in fast allen Industriesektoren eingebettet, was auf ein breites Potenzial zur Störung und Beeinträchtigung wichtiger Dienste und Systeme hinweist.
Problematisch ist vor allem die Fähigkeit von FrostyGoop, über das Modbus-TCP-Protokoll mit ICS-Geräten zu kommunizieren und Befehle zu senden, um Daten auf diesen Geräten zu lesen oder zu ändern. Das ist ein erhebliches Risiko für die Integrität und Funktionalität von ICS-Geräten, mit potenziell weitreichenden Folgen für den industriellen Betrieb und die öffentliche Sicherheit. Der Angriff macht deutlich, wie wichtig grundlegende Cybersicherheitskontrollen sind. Die Tatsache, dass internetfähige Steuerungen und eine unzureichende Netzwerksegmentierung in den Angriff involviert waren, macht deutlich, wie groß die Risiken ohne diese Kontrollen sind. Derzeit kommunizieren weltweit über 46.000 internetfähige ICS-Geräte über Modbus TCP.
Ein proaktiver Ansatz zur Cybersicherheit
Die laufende Beobachtung und Analyse der FrostyGoop-Malware durch Dragos zeigt, wie wichtig eine koordinierte Reaktion in einer dynamischen Bedrohungslandschaft ist. Betreiber von kritischen Infrastrukturen müssen angesichts dieser Entwicklungen den Schutz ihrer ICS-Netzwerke bewerten und priorisieren. Dazu gehört die Einschränkung des Zugriffs auf Modbus-Geräte und die Durchführung gründlicher Netzwerkanalysen, um sicherzustellen, dass sie nicht über das öffentliche Netzwerk zugänglich sind. Eine sorgfältige Überwachung der Netzwerksicherheit, proaktive Verteidigungsmaßnahmen und ein gemeinsamer Informationsaustausch sind entscheidend, um die weitreichenden Auswirkungen von ICS-spezifischer Malware und anderen Bedrohungen einzudämmen.
Der komplette Report von Dragos zu FrostyGoop steht zum Download bereit.
(pd/Dragos)
