Abo
  • Services:
Anzeige
Wasserwerke sollten aus dem Internet nicht erreichbar sein.
Wasserwerke sollten aus dem Internet nicht erreichbar sein. (Bild: Golem.de)

Wie die angreifbaren Systeme gefunden wurden

Der Anfang der Untersuchungen liegt im Herbst 2015. Wir beschäftigten uns mit Industrieroutern, die unter anderem innerhalb von sogenannten ICS (Industrial Control Systems) eingesetzt werden. Im Oktober 2015 erregte eine Webapplikation zur Verwaltung der Parkdecks des Züricher Prime Towers unsere Aufmerksamkeit. Wir stellten daraufhin einige Nachforschungen an und entdeckten, dass sich innerhalb des HTTP-Headers ein gewisses Muster erkennen ließ. Aus Sicherheitsgründen und zur Abwendung von Nachahmern wird dieses hier nicht näher erläutert.

Anzeige

Anschließend programmierten wir ein Python-Script und nutzten das Tool zmap, um dieses Muster an beliebigen öffentlichen IP-Adressen zu testen. Dadurch gelang uns im April dieses Jahres ein erster erstaunlicher Fund, bei dem wir unseren Augen kaum trauten: Wir hatten die Administrationsoberfläche eines deutschen Wasserwerkes auf unserem Bildschirm. Diesen Fund meldeten wir an das CERT-Bund, das zum Bundesamt für Sicherheit in der Informationstechnik (BSI) gehört. Es erklärte, dass "das BSI keine Notwendigkeit [sehe], diese [Applikation] exponiert und direkt im Internet erreichbar zu betreiben".

Kritische Systeme sind betroffen

Innerhalb von 48 Stunden informierte das BSI den Betreiber und veranlasste, dass die Applikation nicht mehr aus dem öffentlichen Internet zu erreichen war. Ab diesem Zeitpunkt war uns klar, dass unsere Funde äußerst kritische Systeme betrafen, die keine Honeypots waren, also keine Lockvorrichtungen, um das Verhalten von Angreifern zu studieren. Wir hielten es für möglich, dass wir noch deutlich mehr Systeme aufspüren könnten - womit wir recht behielten.

Wir beschäftigten uns noch tiefergehender mit der genutzten Software und der Methodik zum Auffinden von weiteren Systemen. Wir schrieben ein Plugin für das Tool nmap und nutzten bestehende Scans des Projektes scans.io, wodurch sich die Suche nach Anlagen erneut erleichtern und beschleunigen ließ. Mit Hilfe der Datensätze konnte somit ein IPv4-Adressbereich von circa 4 Milliarden IPv4-Adressen des Internets auf die genannten Auffälligkeiten untersucht werden. Am Ende der Untersuchungen stand eine Liste von über 100 Systemen zur Verfügung, darunter auch die bereits angeführten Anlagen.

 Totale Kontrolle über einen Tower voller LuxuswohnungenSchwierige Kontaktaufnahme mit den Betreibern 

eye home zur Startseite
Bachsau 04. Okt 2016

Ich finde das Vorgehen grundfalsch, die Betroffenen nur kurz darauf hinzuweisen. Klar...

Atalanttore 12. Aug 2016

Die Namen der unwilligen Hersteller fehlerhafter Steuerungssoftware im Internet nennen...

Clokwork79 18. Jul 2016

...dann sind die Probleme gelöst *wegduck*

User_x 18. Jul 2016

Welche Gefahren gehen von euren Anlagen aus, falls diese Kompromittiert würden?

joypad 17. Jul 2016

kwt



Anzeige

Stellenmarkt
  1. Schwarz Business IT GmbH & Co. KG, Neckarsulm
  2. MCL Computer & Zubehör GmbH, Böblingen
  3. Bundeskartellamt, Bonn
  4. Daimler AG, Gaggenau


Anzeige
Blu-ray-Angebote
  1. (u. a. Reign, Person of Interest, Gossip Girl, The Clone Wars)
  2. 29,99€ (Vorbesteller-Preisgarantie)
  3. (u. a. Mad Max, Legend of Tarzan, Conjuring 2, San Andreas, Creed)

Folgen Sie uns
       


  1. DSLR

    Nikon D850 macht 45,7 Megapixel große Bilder mit 9 fps

  2. Chrome Web Store

    Chrome warnt künftig vor manipulativen Erweiterungen

  3. Separate E-Mail-Adressen

    Komplexe Hilfe gegen E-Mail-Angriffe

  4. Luna Display

    iPad wird zum Funk-Zweitdisplay für den Mac

  5. Centriq 2400

    Qualcomm erläutert 48-Kern-ARM-Chip

  6. Ni No Kuni 2 Angespielt

    Scharmützel und Aufbau im Königreich Ding Dong Dell

  7. Elektroautos

    115 Schnellladestationen gegen Reichweitenangst gebaut

  8. Drohnenlieferungen

    In Island fliegen bald Pizza und Bier

  9. Playstation Now

    Sonys Streamingdienst für PS4 und Windows-PC gestartet

  10. Umweltbundesamt

    Software-Updates für Diesel reichen nicht



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Threadripper 1950X und 1920X im Test: AMD hat die schnellste Desktop-CPU
Threadripper 1950X und 1920X im Test
AMD hat die schnellste Desktop-CPU
  1. Ryzen AMD bestätigt Compiler-Fehler unter Linux
  2. CPU Achtkerniger Threadripper erscheint Ende August
  3. Ryzen 3 1300X und 1200 im Test Harte Gegner für Intels Core i3

Sysadmin Day 2017: Zum Admin-Sein fehlen mir die Superkräfte
Sysadmin Day 2017
Zum Admin-Sein fehlen mir die Superkräfte

Ausweis: Prepaid-Registrierung bislang nicht konsequent umgesetzt
Ausweis
Prepaid-Registrierung bislang nicht konsequent umgesetzt
  1. 10 GBit/s Erste 5G-Endgeräte sind noch einen Kubikmeter groß
  2. Verbraucherzentrale Datenlimits bei EU-Roaming wären vermeidbar
  3. Internet Anbieter umgehen Wegfall der EU-Roaming-Gebühren

  1. Super Sache, würde ich kaufen, wenn nicht...

    ChoMar | 10:53

  2. Re: Umweltpremie für Touareg - ein Witz

    Kondratieff | 10:51

  3. Re: Der konkrete Verstoß

    Lagganmhouillin | 10:51

  4. Amazon Partnerprogramm

    d0p3fish | 10:49

  5. Re: GIF

    Peter Später | 10:48


  1. 10:52

  2. 09:10

  3. 09:00

  4. 08:32

  5. 08:10

  6. 07:45

  7. 07:41

  8. 07:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel