Evil PLC-Attacke: Team82-Sicherheitsforscher entdecken neue Angriffstechnik gegen Industrieanlagen

Hintergrund

Eine SPS ist ein robuster Computer, der zur Steuerung einer Maschine, eines Automatisierungsprozesses oder einer ganzen Produktionslinie eingesetzt wird. Sie empfängt Daten von Sensoren oder Eingabegeräten, verarbeitet diese Daten und löst auf der Grundlage der aktuell geladenen Code-Logik und Parameter bestimmte Ausgaben aus. Neben der Steuerung eines Automatisierungsprozesses wird die SPS auch zur Überwachung und Aufzeichnung von Laufzeitdaten verwendet, kann automatisch Prozesse starten und stoppen oder Alarme erzeugen, wenn eine Maschine nicht richtig funktioniert. Dabei ist die SPS-Architektur nur für die Steuerung, Unterstützung, Wartung und Überwachung eines Automatisierungsprozesses ausgelegt. Zur Diagnose, Steuerung und Wartung der speicherprogrammierbaren Steuerungen nutzen Techniker Engineering-Workstations. Durch sie ist es möglich, Zustandsprüfungen der SPS durchzuführen, den aktuellen Zustand aller Komponenten einschließlich der Speichervariablen und der physischen Aspekte der Ein- und Ausgabe anzuzeigen, Firmware-Upgrades durchzuführen und die SPS-Code-Logik zu ändern.

Evil PLC-Attacke

Die meisten Angriffsszenarien, bei denen eine SPS beteiligt ist, betreffen den Zugriff auf die Steuerung und deren Ausnutzung. SPS sind attraktive Ziele für Angreifer, da typische industrielle Netzwerke über Dutzende SPS verfügen, die verschiedene Vorgänge ausführen. Angreifer, die einen speziellen Prozess physisch stören möchten, müssen dabei zunächst relativ aufwändig die entsprechende SPS identifizieren. Die Sicherheitsforscher folgten jedoch einem anderen Ansatz, indem sie sich auf die SPS als Werkzeug und nicht auf das Ziel konzentrierten, also die SPS nutzten, um auf die Engineering-Workstation zuzugreifen: Die Engineering-Workstation ist die beste Quelle für prozessbezogene Informationen und hat Zugang zu allen anderen SPS im Netzwerk. Mit diesem Zugang und diesen Informationen kann der Angreifer leicht die Logik auf jeder SPS ändern.

Die schnellste Methode, einen Techniker dazu zu bringen, sich mit einer infizierten SPS zu verbinden, besteht darin, dass die Angreifer eine Fehlfunktion oder einen Fehler in der SPS verursachen. Dadurch wird der Techniker gezwungen, eine Verbindung herzustellen und die Software der technischen Workstation zur Fehlerbehebung zu verwenden. Im Rahmen der Untersuchung wurde dieser neue Angriffsvektor auf mehreren weit verbreiteten ICS-Plattformen ausgeführt. Dabei fanden die Spezialisten verschiedene Schwachstellen in jeder Plattform, die es ihnen ermöglichten, die SPS so zu manipulieren, dass bei einem Upload-Vorgang eigens erstellte Hilfsdaten die Engineering-Workstation dazu veranlassen, bösartigen Code auszuführen. So gelang beispielsweise die Infektion der Workstations mit Ransomware über die Steuerungen Schneider Electric M580 und Rockwell Automation Micro800 sowie das Steuerungssystem GE Mark VIe.

„Wir halten die Evil PLC-Attacken für eine neue Angriffstechnik. Bei diesem Ansatz wird die SPS mit Daten angegriffen, die nicht unbedingt Teil einer normalen statischen/Offline-Projektdatei sind, und die Ausführung von Code bei einem technischen Verbindungs-/Upload-Vorgang ermöglicht“, erklärt Sharon Brizinov, Directory of Security Research bei Claroty. „Bei diesem Angriffsvektor ist das Ziel nicht die SPS, wie es beispielsweise bei der Stuxnet-Malware der Fall war, die die SPS-Logik heimlich veränderte, um physische Schäden zu verursachen. Stattdessen wollten wir die SPS als Dreh- und Angelpunkt nutzen, um die Techniker und Workstations anzugreifen und um tieferen Zugang zum OT-Netzwerk zu erhalten.“ Dabei ist hervorzuheben, dass alle gefundenen Schwachstellen auf der Seite der Engineering-Workstation-Software lagen und nicht in der SPS-Firmware. In den meisten Fällen sind die Schwachstellen darauf zurückzuführen, dass die Software den von der SPS kommenden Daten voll und ganz vertraut, ohne umfassende Sicherheitsüberprüfungen durchzuführen.

Empfehlungen

Alle im Rahmen der Untersuchung identifizierten Schwachstellen wurden den betroffenen Anbietern gemäß der Coordinated Disclosure Policy von Team82 gemeldet. Die meisten Hersteller haben entsprechende Updates, Patches oder Abhilfemaßnahmen gegen Evil PLC-Attacken veröffentlicht. Gleichwohl ist es nicht einfach, ein 100-prozentiges Patching-Niveau zu erreichen, insbesondere bei kritischen Infrastrukturen. Daher sind zusätzliche Maßnahmen zur Risikominderung erforderlich, um das Risiko eines Evil PLC-Angriffs zu verringern.

Bei Evil PLC-Angriffen sind die speicherprogrammierbaren Steuerungen der Ausgangspunkt. Deshalb muss der Zugang zu ihnen so weit wie möglich eingeschränkt werden. Sie sollten keinesfalls von außen zugänglich sein oder online gestellt werden. Aber auch der interne Zugriff ist auf autorisierte Ingenieure und Techniker zu beschränken. Da die Sicherung der Verbindung zu den speicherprogrammierbaren Steuerungen langwierig, aufwändig und bei falscher Umsetzung sogar unwirksam ist, empfehlen die Claroty-Sicherheitsforscher folgenden Maßnahmen:

• Netzwerksegmentierung und -hygiene: Der erste Schritt zur Sicherung der Verbindung zu Ihren speicherprogrammierbaren Steuerungen ist die Beschränkung des Zugangs durch eine strikte Segmentierung Ihres Netzwerks. Erlauben Sie den Zugriff auf Ihre SPS nur einer kleinen Gruppe von Engineering-Workstations, wodurch die Angriffsfläche in Ihrem Netzwerk erheblich reduziert wird.
• Effektive Client-Authentifizierung: Es ist von entscheidender Bedeutung, die SPS so zu konfigurieren, dass sie einen Client-Authentifizierungsmechanismus verwendet, um die Identität des Clients (Engineering-Workstation) zu validieren. Derzeit implementieren einige Hersteller solche Kommunikationsprotokolle, bei denen nur eine bestimmte und vordefinierte Gruppe von zertifizierten Engineering-Workstations mit der SPS interagieren kann. So unterstützt B&R beispielsweise die TLS Client-Authentifizierung, die in der Automation Server Engineering Workstation konfiguriert werden kann.
• Public Key Infrastructure (PKI): Eine noch robustere Lösung ist die Verwendung eines umfassenden PKI-Systems zur Validierung und Verschlüsselung des gesamten Datenverkehrs zwischen dem Client (Engineering-Workstation) und dem Server (SPS). Die gegenseitige Authentifizierung (TLS) trägt dazu bei, das Risiko eines Hackerangriffs auf Ihre OT-Anlagen erheblich zu verringern. Allerdings ist PKI in vielen ICS-Produktlinien noch nicht implementiert. Umfassende PKI-Systeme bieten unter anderem Rockwell Automation CIP Security, Siemens TIA v17 und GE ToolsBoxST Secure Mode.
• Überwachung des Netzwerkverkehrs: Der neue Angriffsvektor beinhaltet die Durchführung von Download- und Upload-Prozeduren zu/von einer SPS. Daher ist es wichtig, den OT-Netzwerkverkehr zu überwachen und insbesondere diese Arten von Ereignissen zu erkennen. Wenn ein solcher Vorgang in einer unerwarteten Situation auftritt, könnte dies auf einen Angriffsversuch hindeuten.
• Auf dem neuesten Stand bleiben: Da sowohl Angreifer als auch Sicherheitsverantwortliche diesen neuen Angriffsvektor weiter erforschen, werden weitere Schwachstellen entdeckt werden. OT-Anbieter werden auch zukünftig entsprechende Patches erstellen. Deshalb ist es wichtig, die OT-Software immer auf dem neuesten Stand zu halten, um sich vor diesen kurzfristigen Schwachstellen zu schützen.

Detaillierte Informationen zur neuen Angriffstechnik, Proofs of Concept sowie weitere Informationen finden sich im kompletten Bericht und im entsprechenden Blog-Beitrag von Claroty.