Iran: Hackerangriffe auf Agentur für Atomenergie und Industrieanlagen

[English]Seit den politischen Unruhen sehen sich Behörden und Firmen im Fokus von Hackern, die erfolgreich in IT-Systeme einbrechen. Da werden Webauftritte von TV-Sendern verändert oder die Hacker dringen in IT-Systeme ein und ziehen Daten ab. So musste Irans Agentur für Atomenergie zugeben, dass sie gehackt wurden (passierte erst, nachdem Daten öffentlich wurden). Mir liegt zudem eine Beschreibung vor, wie Hacker in iranische Industrieanlagen eindringen. Nachfolgend ein kleiner Überblick.

Hackerangriffe auf Agentur für Atomenergie

Es ging bereits seit einigen Tagen durch die Medien: Hacker waren bei Irans Agentur für Atomenergie in die IT-Systeme eingedrungen und hatte Dokumente entwendet. The Register berichtet im Beitrag Hacktivists say they stole 100,000 emails from Iran's nuclear energy agency, dass die Verantwortlichen diese als PR-Stunt der Medien abtun wollten. Erst als diese veröffentlicht wurden, gaben die Verantwortlichen der Agentur diesen Hack zu.

Die Kollegen von Bleeping Computer haben das hier aufgegriffen und weisen in obigem Tweet auf das Thema hin. Auch bei heise wurde das Thema aufgegriffen und es heißt, dass 50 GByte Daten abgeflossen seien.

Angriffe auf Irans Industrieanlagensteuerungen

Sicherheitsexperten von Otorio haben mir zudem Details einer Analyse von ICS-Angriffen (ICS, Industrial Control Systems) bereitgestellt. Die Gruppe der "GhostSec"-Hackeraktivisten wurde vor kurzem dabei beobachtet, wie sie israelische PLCs (Programmable Logic Controller) ins Visier nahmen – wohl um ihre Hacking-Fähigkeiten im Bereich von ICS (Industrial Control Systems) zu demonstrieren.

In ihren jüngsten Kampagnen haben sich die Hackeraktivisten den Hijab-Protestwellen im Iran zugewandt und greifen nun iranische Steuerungssysteme in Industrieanlagen an. David Krivobokov, Research Team Leader bei OTORIO, schreibt:

Die Hacker haben mehrere Bilder als Beweis für erfolgreich "gehackte" Systeme veröffentlicht. Diese zeigen die Verwendung von SCADA-Modulen des Metasploit-Frameworks und ein MOXA E2214 Controller-Admin-Webportal nach einem erfolgreichen Login. Es ist zwar nicht klar, welche schädigenden Auswirkungen die "durchbrochenen" Systeme letztlich haben, aber der Fall zeigt erneut die Leichtigkeit und die potenziellen Auswirkungen von Angriffen auf ICS-Systeme, die nur über unzureichende Sicherheitskontrollen verfügen.

Hier die Abbildungen der Hacker zu diesen Angriffen aus GhostSecs-Telegram-Kanal, das die Verwendung des Metasploit-Frameworks zeigt.

Die GhostSec-Angreifer verwendeten ein, von Sicherheitsforschern und Pen-Testern sehr häufig eingesetztes, Metasploit-Framework für die Hacks. Metasploit ist ein äußerst leistungsfähiges und modulares Framework, das die Ausführung einer Vielzahl von Angriffen auf entfernte Anlagen ermöglicht.

Kali Linux – eine Linux-Distribution für Hacker – umfasst Metasploit "out-of-the-box" und wird mit speziellen Modulen für Angriffe auf OT-Systeme geliefert. Mit dieser Toolbox sind selbst unerfahrene Hacker in der Lage, ICS-Zielen erheblichen Schaden zuzufügen. In vielen Fällen können sie einfach das Internet nach potenziellen ICS-Zielen scannen, die offene Ports aufweisen, die mit Industrieprotokollen verbunden sind, wie zum Beispiel Modbus auf Port TCP 502 oder CIP auf TCP Port 44818, und dann die Metasploit SCADA-Module oder andere ICS-Angriffstools auf sie anwenden.

Das am meisten Beunruhigende an dieser Entwicklung besteht darin, dass GhostSec vor zwei Wochen die Webschnittstellen von PLCs kompromittiert hat. Inzwischen beginnt die Gruppe damit, nach neuen Open-Source-Tools zu suchen und verschiedene OT-Protokolle und deren Fähigkeiten näher zu untersuchen. Die Gruppe der Hackeraktivisten scheint hoch motiviert zu sein und verfügt über Fähigkeiten, die von Mal zu Mal stärker werden.

Die Empfehlung von OTORIO für Unternehmen mit gefährdeten PCLs oder ICSs: Stellen Sie sicher, dass es keinen direkten Zugang vom Internet zu Ihren OT-Geräten gibt, insbesondere zu deren Betriebsdiensten. Investieren Sie außerdem in minimale Maßnahmen zur Cyber-Absicherung wie zum Beispiel das kontinuierliche Ändern von standardmäßig verwendeten Passwörtern.

Zum Abschluss noch ein Link auf diesen Artikel von fdd.org mit einer Analyse der iranischen Ambitionen in Sachen Cyberangriffen.