Neue IOCONTROL-Malware bei Angriffen auf kritische Infrastruktur entdeckt

Cyberangriffe auf die kritische Infrastruktur sind leider mittlerweile keine Seltenheit mehr. Staatlich geförderte Hackergruppen nehmen ausländische Ziele ins Visier, um entweder an Informationen zu gelangen oder um Abläufe in wichtigen Teilen der Versorgung der Zivilbevölkerung zu stören. Sicherheitsforscher von Clarotys Team82 haben nun eine neue Malware entdeckt, die gezielt Geräte des Internet of Things (IoT) und OT/SCADA-Systeme angreift, die in Teilen der kritischen Infrastruktur in Israel und den USA zum Einsatz kommen.

Zu den angegriffenen Geräten zählen sowohl Router und IP-Kameras als auch Programmable Logic Controller, Mensch-Maschine-Schnittstellen, Firewalls und Kraftstoffmanagement-Systeme. Dabei ist die Malware modular aufgebaut, wodurch sie viele verschiedene Geräte unterschiedlicher Hersteller kompromittieren kann. Betroffen sind beispielsweise D-Link, Hikvision, Baicells, Red Lion, Orpak, Phoenix Contact, Teltonika und Unitronics.

Derzeit stehen vor allem israelische und amerikanische Systeme wie Orpak und Gasboy im Fokus der Angreifer, die offenbar Teil der iranischen Hackegruppe CyberAv3ngers sind, welche bereits in der Vergangenheit industrielle Systeme angegriffen hat. Laut OpenAI verwendet die Gruppe außerdem ChatGPT, um PLCs zu knacken, benutzerdefinierte Bash- und Python-Exploit-Skripte zu entwickeln und für die Planung von Aktivitäten nach der Kompromittierung.

Den Sicherheitsforschern von Claroty ist es gelungen, eine Probe der Malware aus einem Gasboy Kraftstoffmanagement-System zu extrahieren, wo sie sich im Bezahlterminal versteckt hatte. In diesen Geräten kann IOCONTROL sowohl die Pumpen als auch die Zahlungsterminals und andere periphere Systeme steuern, was zu Störungen oder Datendiebstahl führen könnte.

Auf welchem Weg der Schädling in diese Systeme eingeschleust wurde, ist bislang noch unklar, doch die Hacker gaben über den Messenger Telegram an, dass sie bereits rund 200 Tankstellen in Israel und den USA infiziert hätten, was sich mit den Erkenntnissen der Sicherheitsforscher von Claroty deckt.

Aktuell wird die Malware von keiner der 66 VirusTotal-Antiviren-Engines erkannt. Zusammen mit dem bislang unbekannten Infektionsweg der Malware stellt das für die Sicherheitsverantwortlichen eine große Herausforderung dar und zeigt, dass Malware als Waffe in der Cyberkriegsführung eine ernst zu nehmende Bedrohung darstellt.

‍

Bild (c) jamesteohart / Adobe Stock