Triton: Schadsoftware kann Kraftwerke beschädigen

Die Schadsoftware Triton hat es auf die Sicherheitsprozesse in Kraftwerken und anderer kritischer Infrastruktur abgesehen. Über diese lassen sich Ventile steuern oder eine Notabschaltung auslösen. Schlimme Unfälle könnten die Folge sein.

10. April 2019 um 13:22 Uhr / Moritz Tremmel

Schadsoftware kann kritische Infrastruktur, wie etwa ein Kraftwerk, sabotieren. Bild: wickelbock9 / Pixabay

Das Sicherheitsunternehmen Fireeye hat mehrere Installationen der hochentwickelten und vermutlich staatlichen Schadsoftware Triton, auch Tritis genannt, entdeckt und analysiert. Diese richtet sich gegen kritische Infrastrukturen und nistet sich in deren Sicherheitsprozessen ein – in einem Kraftwerk sind diese beispielsweise für das Öffnen und Schließen von Ventilen zuständig, wenn eine kritische Temperatur erreicht wird. Die Schadsoftware habe es nicht auf Spionage abgesehen, sondern könne kritische Infrastruktur sabotieren und beschädigen, heißt es in einem Bericht des Onlinemagazins Arstechnica.

Sobald die Angreifer Zugang zum internen Netz des Anlagenbetreibers hatten, hätten sie nach den Steuerungen gesucht, um diese zu infizieren, schreibt Fireeye. Spionagetools wie Keylogger und Screenshotgrabber hätten die Angreifer nicht installiert, vielmehr sei es ihnen darum gegangen, mit Hilfe der Schadsoftware Triton Backdoors zu den sensiblen Steuerungen der Anlagen einzurichten. Diese Safety Instrumented Systems (SIS) schützen Kraftwerke vor kritischen Zuständen, indem sie beispielsweise Kühlungsprozesse triggern oder Ventile öffnen, um Druck abzubauen. Über diese hätte die Anlage physisch beschädigt werden – und damit lebensgefährliche Unfälle erzeugen können.

Fireeye veröffentlichte Ende 2017 einen ähnlichen Angriff. Dieser zielte auf die dort verbaute Triconex-Steuerung von Schneider Electric, die unter anderem eine Notabschaltung der Anlage auslösen konnte. Wahrscheinlich löste der Angriff diesen versehentlich aus – und war damit verantwortlich für einen Stromausfall im November 2017.

Triton-Gruppe seit 2014 aktiv

Die Angreifer hätten ihre Schadsoftware für das jeweilige Ziel angepasst. Die Gruppe hinter der Schadsoftware Triton sei bereits seit mindestens 2014 aktiv. Fireeye ordnet die Angriffe auf Basis mehrerer Indizien Russland zu. Beispielsweise könnte die Arbeit an dem Tool der Zeitzone in Moskau zugeordnet werden. Die Zuordnung von Schadsoftware zu einem (staatlichen) Akteur ist kompliziert und kann selten mit Sicherheit erfolgen.

Größere Bekanntheit erlangte die Schadsoftware Stuxnet, die es ebenfalls auf kritische Infrastruktur abgesehen hatte: Sie verbreitete sich über USB-Sticks und manipulierte die Zentrifugen in einer iranischen Atom-Anlage. Auch das Stromnetz der Ukraine wurde mehrfach durch Schadsoftware lahmgelegt.

Auf die Steuerungen von Klär- und Wasserwerken in Deutschland konnte zum Teil erheblich einfacher zugegriffen werden: Die über das Internet erreichbaren Weblogins der Steuerungen präsentierten zum Teil den vorausgefüllten Benutzernamen. Dieser war identisch mit dem Passwort.