Satelliteninternet: Angriffe auf KA-Sat halten angeblich weiter an

Eine erste Analyse zeigt außerdem, wie die Angreifer die Modems des Satelliteninternet-Netzwerks KA-Sat ausgeschaltet haben.

Artikel veröffentlicht am 31. März 2022, 10:30 Uhr, Sebastian Grüner

KA-Sat-Betreiber Viasat sieht weiter Angriffe auf das Netzwerk. (Bild: REUTERS/Mike Blake/File Photo)

Nach dem Angriff auf Zehntausende Modems des Satelliteninternet-Netzwerks KA-Sat, sagte der Besitzer Viasat der Nachrichtenagentur Reuters, dass die Angriffe auf die Infrastruktur wohl weiter anhalten. Viasat ist nach wochenlangen Problemen und Fehlern mit dem Netzwerk derzeit dabei, seine Nutzer wieder online zu bringen.

Ein Sprecher von Viasat sagte Reuters: "Wir sehen immer einige absichtliche Versuche." Weiter heißt es, dass Viasat den Angriffen bisher mit defensiven Maßnahmen widerstanden habe, aber auch, dass "wir wiederholte Versuche von diesem Angreifer gesehen haben, seine Muster zu ändern, um diese neuen Maßnahmen und Verteidigungen zu testen".

Das von Viasat betriebene Satellitennetzwerk ist am 24. Februar 2022 unmittelbar mit dem Angriff Russlands auf die Ukraine ausgefallen. Betroffen davon sind in Deutschland unter anderem Tausende Windkraftanlagen, die per Satellit mit den Betreibern kommunizieren. Die Anlagen liefen daraufhin vorläufig im Automatikmodus und konnten sich autark und selbstständig regulieren.

Bösartige Kommandos an die Modems

Bereits früh nach den ersten Angriffen wurde vermutet, dass der initiale Angriff über eine Gatewaystation am Boden in der Ukraine erfolgt sein dürfte. Diese Darstellung bestätigt nun auch prinzipiell Viasat in einer ersten vorläufigen Analyse, die das Unternehmen am Mittwoch veröffentlichte.

Darin heißt es, dass die Angreifer in das Netzwerk am Bode eingedrungen seien und "eine Fehlkonfiguration in einer VPN-Anwendung ausgenutzt hatten", um Fernzugriff auf die Verwaltung des KA-Sat-Netzwerks zu erhalten. Darüber gelang es den Angreifern, weiter bis zur Betriebsverwaltung des Netzwerks vorzudringen.

Dieser Netzzugang sei letztlich genutzt worden, "um legitime, gezielte Verwaltungsbefehle auf einer großen Anzahl von privaten Modems gleichzeitig auszuführen. Diese destruktiven Befehle überschrieben insbesondere Schlüsseldaten im Flash-Speicher der Modems, wodurch die Modems zwar nicht mehr auf das Netzwerk zugreifen konnten, aber nicht dauerhaft unbrauchbar wurden." Zuvor hieß es noch, dass die Modem ausgetauscht werden müssten.