Cloud
Warnung vor Angriffen auf kritische Infrastrukturen
Die CISA hat ein aktualisiertes US-Advisory zu anhaltenden PLC-Angriffen veröffentlicht. Diese Aktivitäten sind möglicherweise gefährlicher als eine ähnliche Kampagne 2023. Welche Maßnahmen können Unternehmen jetzt ergreifen, um sich zu schützen?
Save to Folio
Wichtigste Erkenntnisse
- Mehrere US-Bundesbehörden haben ihre gemeinsame CISA-Warnung vor Angriffen aktualisiert und darauf hingewiesen, dass Angreifer Bedieneranzeigen manipulierten, sodass das Personal auf den Bildschirmen keine Anomalien erkennen konnte.
- Die Angreifer stellen mithilfe legitimer Engineering-Software eine Verbindung zu PLCs her – genau wie es ein autorisierter Techniker tun würde.
- Die Aktualisierung vom Juli 2026 erweitert den Herstellerbereich über Rockwell Automation / Allen-Bradley hinaus auf Geräte von Schneider Electric und Siemens und enthält zusätzliche Anleitungen zur Erkennung böswilliger Änderungen, die in gemeinsam genutzten, wiederverwendbaren Codemodulen versteckt sind.
- Zu den betroffenen Sektoren zählen staatliche Einrichtungen, Wasserversorgungssysteme und Energieinfrastruktur in den gesamten USA.
- Die TrendAI Vision One™-Plattform erkennt und blockiert die mit dieser Aktivität verbundenen Indikatoren für Kompromittierung (IoCs).
Sechs US-Bundesbehörden haben ein Advisory zu anhaltenden Angriffen auf Anlagen aktualisiert, die die physisch kritische Infrastruktur der USA betreiben. Darunter sind städtische Dienste, Wasseraufbereitungsanlagen und Kraftwerke. Die aktualisierte Warnung wurde erstmals im April 2026 herausgegeben.
Die Aktivitäten der Angreifer umfassen das Scannen des Internets nach ungeschützten industriellen Steuerungssystemen (ICS) und das Herstellen einer Verbindung mithilfe legitimer Engineering-Software – genau wie es ein autorisierter Techniker tun würde. Sobald sie sich Zugang verschafft haben, verändern sie die zugrunde liegende Logik des Controllers, also die Anweisungen, die den Anlagen mitteilen, was sie tun sollen. In einigen Fällen ändern sie auch die Anzeige auf den Bildschirmen der Bediener. Die Angriffe sind speziell so konzipiert, dass die beteiligten Mitarbeiter keine Anomalien auf ihren Bildschirmen erkennen können.
Das gemeinsame Advisory AA26-097A wurde vom FBI, der Cybersecurity and Infrastructure Security Agency (CISA), der National Security Agency (NSA), der Environmental Protection Agency (EPA), dem Energieministerium und dem U.S. Cyber Command unterzeichnet. Darin wird gewarnt, dass Akteure aus dem Umfeld von Nationalstaaten und von Advanced Persistent Threats (APT) aktiv Programmable Logic Controllers (PLCs) mit Internetanbindung in US-Behörden, Wasserversorgungssystemen und der Energieinfrastruktur ausnutzen.
Was ist ein PLC?
Eine PLC ist ein spezielles, robustes Industriegerät, das der Ausführung der Steuerlogik für den Betrieb physischer Anlagen dient. Die Geräte ersetzten die Reihen festverdrahteter elektromechanischer Relais, die diese Aufgabe früher übernahmen, und tauschte die feste Verdrahtung gegen eine umprogrammierbare Logik aus. PLCs sind es, die das Ventil öffnen, die Pumpe starten, den Druck aufrechterhalten und den Schutzschalter auslösen. Die Tatsache, dass viele Geräte auch über ein Netzwerk erreichbar sind, ermöglicht den laufenden Betrieb – und genau diese Erreichbarkeit nutzen die Angreifer aus.
Zwei weitere Begriffe, die für diesen Vorfall von Bedeutung sind, sind die folgenden:
- Projektdatei: Die Blaupause, die dem Controller mitteilt, wie er zu arbeiten hat. Vereinfacht ausgedrückt enthält sie Regeln wie „Wenn der Druck den Grenzwert überschreitet, schließe das Ventil“, erfasst jedoch die gesamte Betriebskonfiguration und nicht nur einzelne Regeln.
- Mensch-Maschine-Schnittstelle (HMI): Die Bildschirme, auf denen Bediener den Betriebszustand der Anlage verfolgen und diese steuern.
Zusammengenommen lassen sich die Kernmechanismen der aktuellen Angriffe leicht beschreiben: Die Angreifer verschaffen sich Zugriff auf die Controller, kopieren den „Bauplan“ und verändern das, was die Menschen sehen. Eine reale industrielle Umgebung umfasst weit mehr als diese drei Komponenten, doch genau diesen engen Ausschnitt manipulieren die Angreifer.
Unterschiede zu Angriffen von 2023
Im November 2023 kompromittierte eine mit dem iranischen IRGC Cyber Electronic Command (IRGC-CEC) verbundene Gruppe, bekannt als CyberAv3ngers, mindestens 75 PLCs in US-amerikanischen Wasserversorgungsanlagen. Diese Geräte liefen mit Standard-Anmeldedaten, sodass es sich um ein einfaches Problem mit einer einfachen Lösung handelte: das Passwort ändern.
Ohne die Gruppe namentlich zu nennen, beschreiben die Bundesbehörden Aktivitäten bei den laufenden Angriffen, die mit obigen Angriffen übereinstimmen. Die aktuelle Ausnutzung ist in drei spezifischen Punkten ausgefeilter:
- Bessere Werkzeuge: Anstelle von Standardpasswörtern verwenden die Angreifer eine legitime Engineering-Software mit funktionierenden Zugangsdaten. Aus Sicht des Netzwerks sieht die Verbindung wie eine solide Arbeit eines Technikers aus.
- Größerer Umfang: Die ursprüngliche Veröffentlichung des Advisorys im April konzentrierte sich auf die Controller von Rockwell Automation / Allen-Bradley. Die Aktualisierung vom Juli erweitert diesen Umfang auf PLCs von Schneider Electric und Siemens sowie auf andere Marken.
- Konkrete Folgen: Die Kampagne von 2023 verlief weitgehend ohne Störungen, während die derzeitigen Angriffe bei einigen betroffenen Organisationen nachweislich zu Betriebsstörungen und finanziellen Verlusten geführt haben.
Die Aktualisierung des Advisorys weist zudem auf ein weniger auffälliges, aber ernstes Risiko hin: böswillige Änderungen, die in wiederverwendbaren Codemodulen versteckt sind – gemeinsam genutzte Logikblöcke, die gleichzeitig in viele PLC-Programme eingefügt werden. Da ein manipuliertes Modul seine Änderungen in jeden Prozess überträgt, der es wiederverwendet, kann sich eine einzige Änderung über den gesamten Betrieb ausbreiten. Dadurch wird die eigene Engineering-Bibliothek eines Betreibers, die voller vertrauenswürdiger Konfigurationsstandards und Spezifikationen ist, zu einem Problem in der Lieferkette – und genau das sollen die neuen Erkennungshinweise der Aktualisierung aufdecken.
Keine Sicherheitslücke erforderlich
Der mit der laufenden Aktivität verbundene Datenverkehr tauchte an fünf Ports auf (siehe Originalbeitrag). Keiner dieser Datenverkehrsströme steht im Zusammenhang mit einem Softwarefehler. Die Angreifer suchen nach im Internet exponierten PLCs und stellen eine Verbindung zu ihnen her, genau wie es ein legitimer Techniker tun würde. Das ist eine architektonische Schwachstelle, die sich nicht durch Patches beheben lässt, da diese Controller ohne ausreichende Netzwerksegmentierung, Authentifizierungssperren oder Absicherung des Fernzugriffs eingesetzt werden.
Öffentliche Scan-Daten von Shodan zeigen, dass heute mehr als 74.000 ICS-Geräte direkt über das offene Internet erreichbar sind – ein Rückgang gegenüber dem Stand von rund 120.000, der über weite Teile des Zeitraums seit 2017 bestand – und viele davon laufen immer noch mit Standard-Anmeldedaten oder gar ohne.
Sicherheitsempfehlungen
Die Abwehr dieser Angriffe ist größtenteils eine Frage der Konfiguration und der Zugriffskontrolle; und die Maßnahmen können sofort umgesetzt werden. Die folgenden Schritte reichen von kurzfristigen bis längerfristigen Maßnahmen
Diese Woche
- Entfernen Sie PLCs aus der direkten Internetpräsenz. Leiten Sie den gesamten Fernzugriff über ein sicheres Gateway oder einen Jump-Host mit Multi-Faktor-Authentifizierung (MFA) und stellen Sie sicher, dass Mobilfunkmodems, die für die Feldkonnektivität verwendet werden, authentifiziert und protokolliert werden.
- Verwenden Sie Schalter im physikalischen Modus, sofern verfügbar. Stellen Sie Hardware-Schlüsselschalter auf „RUN“ und wechseln Sie nur während aktiver, überwachter Wartungsfenster auf „PROGRAM“ oder „REMOTE“. Bei einigen Steuerungen kann die Schalterposition weiterhin durch einen Netzwerkbefehl außer Kraft gesetzt werden.
- Durchsuchen Sie die Protokolle nach den veröffentlichten Indikatoren. Überprüfen Sie die Protokolle von Firewalls, Intrusion Detection Systemen und Netzwerküberwachungssystemen auf die in der Sicherheitsempfehlung genannten IP-Adressen an den Ports 22, 102, 502, 2222 und 44818, wobei Sie besonders auf Datenverkehr von Hosting-Anbietern aus dem Ausland achten sollten.
Dieses Quartal
- Aktivieren Sie den Programmierschutz bei Software-Schlüsselschaltern.
- Sichern Sie die PLC-Logik und -Konfigurationen offline und testen Sie die Wiederherstellung.
- Erhöhen Sie die Sicherheit über die unmittelbare Reaktion hinaus. Setzen Sie MFA für alle Fernzugriffe auf Betriebstechnologie (OT) durch, blockieren Sie unnötige OT-Ports am Netzwerkperimeter, deaktivieren Sie ungenutzte Dienste wie Telnet und Standard-Webschnittstellen und überwachen Sie kontinuierlich Konfigurationsänderungen im Vergleich zu einer als sicher bekannten Baseline.
Die Sicherheitsempfehlung bürdet nicht die gesamte Verantwortung den Betreibern auf. Sie richtet sich direkt an die Hersteller: Liefern Sie Produkte, bei denen Administrationsschnittstellen standardmäßig nicht im Internet exponiert sind, unterstützen Sie MFA (einschließlich Phishing-resistenter Methoden) und erheben Sie keine zusätzlichen Gebühren mehr für die grundlegenden Sicherheitsfunktionen, die ein Produkt für den sicheren Betrieb benötigt.
Kontinuierliche Überprüfung
Wenn die Angriffsmethode legitime Software und gültige Anmeldedaten nutzt, sagt eine einmalige Bestandsaufnahme so gut wie nichts darüber aus, ob eine Umgebung auch im nächsten Monat noch geschützt ist. Die Empfehlung des Advisorys lautet daher, diese Kontrollmaßnahmen kontinuierlich zu überprüfen. Zu wissen, was vom Internet aus in die OT-Umgebung erreichbar ist, und sicherzustellen, dass die Segmentierung tatsächlich durchgesetzt und nicht nur angenommen wird, macht den entscheidenden Unterschied zwischen dem bloßen Lesen des Advisorys und dem tatsächlichen Handeln aus.
TrendAI Vision One™ Threat Intelligence Hub bietet die neuesten Erkenntnisse zu aufkommenden Bedrohungen und Akteuren, exklusive strategische Berichte von TrendAI™ Research sowie den TrendAI Vision One™ Threat Intelligence Feed auf der TrendAI Vision One™-Plattform.
Kunden, die TrendAI Vision One™ nutzen, können die XDR Data Explorer App verwenden, um die in diesem Blog-Artikel behandelten Indicators of Compromise mit Daten aus ihren eigenen Umgebungen abzugleichen und so nach Bedrohungen zu suchen. Weitere Einzelheiten finden Sie im Originalbeitrag.