Analyse von Symantec

Stuxnet greift nur bestimmte Industrieanlagen an

Das Securityunternehmen Symantec feiert seine neue Untersuchung des Wurms Stuxnet als "Durchbruch". Erstmals soll es gelungen sein, die genaue Hardwareumgebung auszumachen, die Stuxnet angreift. Der Verdacht erhärtet sich, dass das Programm Anlagen zur Urananreicherung gezielt sabotieren sollte.

Schritt für Schritt entblättern die Antivirenhersteller den Wurm Stuxnet, der iranische Atomanlagen befallen hat. Vor besondere Probleme stellt sie dabei nicht nur die Tatsache, dass der Wurm viele vorher unbekannte Sicherheitslücken in Windows nutzt, sondern auch sein eigentliches Zielsystem.

Der Schädling befällt speicherprogrammierbare Steuerungen, im Englischen PLCs genannt. Diese Computer werden zur Steuerung von Maschinen in Industrieanlagen eingesetzt und unterliegen zum Teil Exportbeschränkungen - die Umgebung, in welcher der Kern von Stuxnet läuft, lässt sich also nicht ohne Weiteres nachstellen.

Symantec hatte daher um Anregungen von Programmierern gebeten, die unter anderem mit den Protokollen des Profibus vertraut sind, der die Bestandteile von PLCs oft verbindet. Nach Hinweisen eines niederländischen Profibus-Experten soll es nun gelungen sein, auch die letzten Schritte eines Angriffs durch Stuxnet auf eine PLC zu verstehen.

Damit die Schadroutine überhaupt tätig wird, muss sie eine ganz bestimmte Konfiguration vorfinden. Dazu zählt die PLC S7-300 aus der Serie Simatic von Siemens, an die bis zu sechs Profibus-Controller des Typs CP-342-5 angeschlossen sein müssen. Jedes dieser Module kann 31 Frequenzumrichter steuern, und diese wiederum die Drehzahl von Elektromotoren.