Abo
  • Services:

Wie die angreifbaren Systeme gefunden wurden

Der Anfang der Untersuchungen liegt im Herbst 2015. Wir beschäftigten uns mit Industrieroutern, die unter anderem innerhalb von sogenannten ICS (Industrial Control Systems) eingesetzt werden. Im Oktober 2015 erregte eine Webapplikation zur Verwaltung der Parkdecks des Züricher Prime Towers unsere Aufmerksamkeit. Wir stellten daraufhin einige Nachforschungen an und entdeckten, dass sich innerhalb des HTTP-Headers ein gewisses Muster erkennen ließ. Aus Sicherheitsgründen und zur Abwendung von Nachahmern wird dieses hier nicht näher erläutert.

Stellenmarkt
  1. Universitätsmedizin der Johannes Gutenberg-Universität Mainz, Mainz
  2. T-Systems Multimedia Solutions GmbH, Dresden

Anschließend programmierten wir ein Python-Script und nutzten das Tool zmap, um dieses Muster an beliebigen öffentlichen IP-Adressen zu testen. Dadurch gelang uns im April dieses Jahres ein erster erstaunlicher Fund, bei dem wir unseren Augen kaum trauten: Wir hatten die Administrationsoberfläche eines deutschen Wasserwerkes auf unserem Bildschirm. Diesen Fund meldeten wir an das CERT-Bund, das zum Bundesamt für Sicherheit in der Informationstechnik (BSI) gehört. Es erklärte, dass "das BSI keine Notwendigkeit [sehe], diese [Applikation] exponiert und direkt im Internet erreichbar zu betreiben".

Kritische Systeme sind betroffen

Innerhalb von 48 Stunden informierte das BSI den Betreiber und veranlasste, dass die Applikation nicht mehr aus dem öffentlichen Internet zu erreichen war. Ab diesem Zeitpunkt war uns klar, dass unsere Funde äußerst kritische Systeme betrafen, die keine Honeypots waren, also keine Lockvorrichtungen, um das Verhalten von Angreifern zu studieren. Wir hielten es für möglich, dass wir noch deutlich mehr Systeme aufspüren könnten - womit wir recht behielten.

Wir beschäftigten uns noch tiefergehender mit der genutzten Software und der Methodik zum Auffinden von weiteren Systemen. Wir schrieben ein Plugin für das Tool nmap und nutzten bestehende Scans des Projektes scans.io, wodurch sich die Suche nach Anlagen erneut erleichtern und beschleunigen ließ. Mit Hilfe der Datensätze konnte somit ein IPv4-Adressbereich von circa 4 Milliarden IPv4-Adressen des Internets auf die genannten Auffälligkeiten untersucht werden. Am Ende der Untersuchungen stand eine Liste von über 100 Systemen zur Verfügung, darunter auch die bereits angeführten Anlagen.

 Totale Kontrolle über einen Tower voller LuxuswohnungenSchwierige Kontaktaufnahme mit den Betreibern 
  1.  
  2. 1
  3. 2
  4. 3
  5. 4
  6. 5
  7. 6
  8. 7
  9. 8
  10. 9
  11.  


Anzeige
Top-Angebote
  1. (u. a. Logitech G910 + G402 für 99€ und ASUS Dual Radeon RX 580 OC + SanDisk SSD Plus 240 GB...
  2. (aktuell u. a. Corsair CX750 für 64,90€ + Versand)
  3. 9,99€ (mtl., monatlich kündbar)
  4. 229,99€

Bachsau 04. Okt 2016

Ich finde das Vorgehen grundfalsch, die Betroffenen nur kurz darauf hinzuweisen. Klar...

Atalanttore 12. Aug 2016

Die Namen der unwilligen Hersteller fehlerhafter Steuerungssoftware im Internet nennen...

Clokwork79 18. Jul 2016

...dann sind die Probleme gelöst *wegduck*

User_x 18. Jul 2016

Welche Gefahren gehen von euren Anlagen aus, falls diese Kompromittiert würden?

joypad 17. Jul 2016

kwt


Folgen Sie uns
       


Sony Xperia L3 - Hands on (MWC 2019)

Sony hat das Xperia L3 auf dem MWC 2019 in Barcelona vorgestellt. Das Einsteiger-Smartphone mit Dual-Kamera steckt in einem schmalen 2:1-Gehäuse. Es hat den Fingerabdrucksensor wieder auf der rechten Seite. Das Smartphone erscheint Anfang März 2019 zum Preis von 200 Euro.

Sony Xperia L3 - Hands on (MWC 2019) Video aufrufen
Raspi-Tastatur und -Maus im Test: Die Basteltastatur für Bastelrechner
Raspi-Tastatur und -Maus im Test
Die Basteltastatur für Bastelrechner

Für die Raspberry-Pi-Platinen gibt es eine offizielle Tastatur und Maus, passenderweise in Weiß und Rot. Im Test macht die Tastatur einen anständigen Eindruck, die Maus hingegen hat uns eher kaltgelassen. Das Keyboard ist zudem ein guter Ausgangspunkt für Bastelprojekte.
Ein Test von Tobias Költzsch

  1. Bastelcomputer Offizielle Maus und Tastatur für den Raspberry Pi
  2. Kodi mit Raspberry Pi Pimp your Stereoanlage
  3. Betriebssystem Windows 10 on ARM kann auf Raspberry Pi 3 installiert werden

Days Gone angespielt: Zombies, Bikes und die Sache mit der Benzinpumpe
Days Gone angespielt
Zombies, Bikes und die Sache mit der Benzinpumpe

Mit dem nettesten Biker seit Full Throttle: Das Actionspiel Days Gone schickt uns auf der PS4 ins ebenso große wie offene Abenteuer. Trotz brutaler Elemente ist die Atmosphäre erstaunlich positiv - beim Ausprobieren wären wir am liebsten in der Welt geblieben.
Von Peter Steinlechner


    Fitbit Versa Lite im Test: Eher smartes als sportliches Wearable
    Fitbit Versa Lite im Test
    Eher smartes als sportliches Wearable

    Sieht fast aus wie eine Apple Watch, ist aber viel günstiger: Golem.de hat die Versa Lite von Fitbit ausprobiert. Neben den Sport- und Fitnessfunktionen haben uns besonders der Appstore und das Angebot an spaßigen und ernsthaften Anwendungen interessiert.
    Von Peter Steinlechner

    1. Smartwatch Fitbit stellt Versa Lite für Einsteiger vor
    2. Inspire Fitbits neues Wearable gibt es nicht im Handel
    3. Charge 3 Fitbit stellt neuen Fitness-Tracker für 150 Euro vor

      •  /