bk99.de entertain the web since 1997

bk99.de
KrebsOnSecurity · SicherheitKuratiert

Stuxnet: Der Angriff endet nicht am Windows-Rechner

Zusammenfassung

Brian Krebs berichtet im September 2010, dass der Wurm Stuxnet neben der Lücke bei Windows-Verknüpfungen mindestens drei weitere, bis dahin unbekannte Windows-Schwachstellen nutzt. Microsoft schloss am selben Tag die Lücke in der Druckerwarteschlange, zwei Rechteausweitungen waren noch offen. Joe Weiss betont, dass das eigentliche Ziel Siemens-Steuerungen sind, deren eingeschleusten Code Stuxnet vor Programmierern verbirgt.

Wie die Lücken geschlossen wurden

Die Verknüpfungslücke CVE-2010-2568 schloss Microsoft am 2. August 2010 mit MS10-046; die Symboldarstellung einer präparierten LNK-Datei reichte, um Code auszuführen, etwa beim Öffnen eines USB-Sticks im Explorer. Die Druckerwarteschlange folgte am 14. September mit MS10-061. Die Rechteausweitung über Tastaturlayouts, CVE-2010-2743, deren CVE-Eintrag Stuxnet ausdrücklich nennt, schloss MS10-073 im Oktober 2010.

Dazu kam eine Lücke, die Microsoft schon 2008 behoben hatte. Roel Schouwenberg von Kaspersky erklärt im Artikel, warum Stuxnet sie trotzdem mitbrachte: In Steuerungsnetzen fehlten oft Intrusion Detection und Protokollierung, und Stuxnet setzte die alte Lücke nur ein, wenn es kein Firmennetz vermutete.

Was ICS-CERT früh festhielt

Das ICS-CERT beschrieb im Juli 2010 die beiden Treiber mrxnet.sys und mrxcls.sys, signiert mit einem Zertifikat von Realtek, das im Juni 2010 abgelaufen war; VeriSign widerrief es. Ein weiterer CVE-Eintrag, CVE-2010-2772, betrifft ein fest eingebautes Passwort in Siemens WinCC und PCS 7, das Stuxnet für den Zugriff auf die Datenbank nutzte.

Ideen

  • Stuxnet kombinierte mehrere unbekannte Windows-Lücken in einem Angriff.
  • USB-Sticks und Druckerfreigaben dienten als Verbreitungswege.
  • Gültige Signaturen bekannter Hersteller tarnten die Treiber.
  • Stuxnet prüfte, ob es in einem Firmen- oder Steuerungsnetz lief.
  • Fest eingebaute Herstellerpasswörter öffneten den Weg zur Steuerung.
  • Eingeschleuster SPS-Code blieb für Programmierer unsichtbar.

Einsichten

  • Die Windows-Lücken waren nur das Mittel, die Steuerung war das Ziel.
  • Steuerungsnetze ohne Protokollierung lassen auch alte Angriffe unbemerkt.
  • Signaturen beweisen Herkunft, nicht Absicht, wenn private Schlüssel gestohlen sind.

Zitate

  • The really scary thing is that right now we don’t even know which controllers are trusted and which ones aren’t trusted. (Joe Weiss)

Fakten

  • Microsoft schloss die Verknüpfungslücke CVE-2010-2568 am 2. August 2010 mit MS10-046.
  • MS10-061 vom 14. September 2010 behebt die Lücke in der Druckerwarteschlange.
  • Der CVE-Eintrag zu CVE-2010-2743 nennt Stuxnet; Microsoft schloss die Lücke mit MS10-073.
  • CVE-2010-2772 beschreibt ein fest eingebautes Passwort in Siemens WinCC und PCS 7.
  • Laut ICS-CERT trugen die Stuxnet-Treiber eine Realtek-Signatur, deren Zertifikat VeriSign widerrief.

Referenzen

Bemerkungen

  • Der Artikel entstand, bevor Ziel und Urheberschaft geklärt waren; Siemens nannte damals mindestens 14 infizierte Anlagen ohne Produktionsausfall, die meisten Infektionen lagen im Iran.

Empfehlungen

  • Trenne Steuerungsnetze von Büronetzen und protokolliere den Verkehr dazwischen.
  • Ersetze fest eingebaute Herstellerpasswörter oder sperre sie auf Netzebene ab.
  • Lass Wechseldatenträger in Produktionsumgebungen nur über eine Prüfstation zu.

Originalbeitrag lesen

Im Webarchiv suchen

KrebsOnSecurity · 2025

6,3 Tbit/s: Was nach Mirai kam

Brian Krebs berichtet über einen etwa 45 Sekunden langen Angriff mit mehr als 6,3 Tbit/s auf KrebsOnSecurity, den Google Project Shield abwehrte. Google ordnete ihn dem IoT-Botnetz Aisuru zu, dessen Zugang offen über Telegram vermietet wurde. Die Spur führt zu der Person hinter dem Pseudonym Forky, die nach eigenen Angaben in Brasilien lebt, an Aisuru mitgearbeitet hat und eine Beteiligung am Angriff bestreitet.

KrebsOnSecurity · 2024

BlackCat: Lösegeld kauft kein Vertrauen

Brian Krebs berichtet über Hinweise, dass Change Healthcare der Ransomware-Gruppe BlackCat rund 22 Millionen US-Dollar gezahlt hat, während der Angriff in den USA die Abgabe verschreibungspflichtiger Medikamente störte. Ein Partner der Gruppe beklagte öffentlich, um den eigenen Anteil betrogen worden zu sein, und behauptete, die gestohlenen Daten weiterhin zu besitzen. BlackCat stellte daraufhin den Betrieb ein und zeigte eine offenbar kopierte Beschlagnahmemeldung des FBI.

KrebsOnSecurity · 2020

SolarWinds: Vertrauenswürdige Updates als Einfallstor

Brian Krebs fasst wenige Tage nach Bekanntwerden zusammen, was über den Einbruch bei SolarWinds bekannt war: Angreifer hatten Schadcode in Updates der Netzwerküberwachung Orion eingeschleust. Laut Börsenmeldung waren rund 33.000 der mehr als 300.000 Kunden Orion-Nutzer, und weniger als 18.000 hatten möglicherweise eine verseuchte Version installiert. Microsoft hatte die zentrale Steuerdomain des Schadcodes übernommen und dürfte damit sehen können, welche Systeme sich noch melden.