Backdoors

Industroyer ist nach den Erkenntnissen von Eset modular aufgebaut und kann deswegen leicht um weitere Funktionen ergänzt werden. Die Kernkomponente der Schad-Software ist eine Backdoor, die sie auf in­fizierten Systemen einrichtet. Über diese kommuniziert Industroyer mit dem Steuer-Server der Angreifer. Ausserdem lassen sich neue Komponenten über die Hintertür herunterladen und installieren. Eset ist es gelungen, mehrere dieser Bestandteile abzufangen und zu untersuchen. Sie richten sich meist gegen bestimmte Kommunikationsprotokolle, die in industriellen Umgebungen verwendet werden. Andere dienen dazu, Daten auf dem verseuchten System zu löschen, oder um weitere potenzielle Ziele im jeweiligen Netzwerk zu identifizieren und anzugreifen.

Sogar für DDoS-Angriffe (Distributed Denial of Service) lässt sich Industroyer nach Aussage von Cherepanov einsetzen. Wer hinter der Malware steckt, ist immer noch unklar. Industroyer gilt als eine der grössten Gefahren für kritische Infrastrukturen und industrielle Anlagen seit Stuxnet. Der Stuxnet-Wurm infizierte 2010 unter anderem SCADA-Systeme von Siemens, die zur Steuerung von Frequenzumrichtern in iranischen Atomanlagen gedient haben. Nach Informationen des Whistleblowers Edward Snowden und des Aktivisten Jacob Appelbaum wurde Stuxnet gemeinsam von den USA und Israel entwickelt.

«Ein erfolgreicher Angriff auf Systeme, die physikalische und technische Prozesse steuern, beeinträchtigt unter Umständen die Funktionsfähigkeit der gesamten Anlage», erläutert Will Stefan Roth, Regional Director DACH & EE bei Nozomi Networks. Das Unternehmen ist auf die Absicherung von Steuerungs- und SCADA-Systemen spezialisiert und hat Standorte in den USA und der Schweiz. «Die aus einem erfolgreichen Angriff resultierende Ausfallzeit hat verheerende wirtschaftliche Auswirkungen», so Roth. Zahlreiche in der Industrie und von Versorgern eingesetzte Anlagen und Systeme stammen nach seinen Angaben noch aus der Vor-Internet-Ära, und seien damals nach dem Prinzip der physischen Nähe konzipiert worden. Inzwischen habe sich die Arbeitsweise jedoch stark geändert. «Heute sind diese historisch gewachsenen Systeme mit IT-Netzwerken oder mit der Aussenwelt verbunden, um Prozesse zu steuern und zu überwachen.»