Gleich fünf US-Behörden, darunter CISA, NSA und FBI, haben am Mittwoch eine gemeinsame Warnung veröffentlicht. Im Visier der Angreifer stehen speicherprogrammierbare Steuerungen (SPS) der S7-Familie von Siemens. Sie kommen weltweit in Fabriken, Wasserwerken, Chemiewerken und bei Energieversorgern zum Einsatz.
Angriff per Internet
Die Angreifer suchen über das Internet nach schlecht abgesicherten SPS. Sobald sie diese finden, dringen sie mithilfe KI-generierter Skripte in die Steuerungen ein. Diese basieren auf der frei zugänglichen Automatisierungsbibliothek »snap7.dll« und ermöglichen Lese- sowie Schreibzugriff auf den Speicher und die Konfiguration der Geräte.
Laut den Behörden tarnen sich die Skripte als gewöhnliche Monitoring-Tools zur Anlagenüberwachung. Künstliche Intelligenz senkt hier die Einstiegshürde für Industrie-Hacks. Die Angreifer sparen Entwicklungszeit und benötigen weniger technisches Vorwissen, um Schwachstellen auszunutzen.
Anzeige
Ausspähen für künftige Sabotage
Bislang werten die Angreifer die Anlagen offenbar primär aus. Die Ermittler gehen jedoch davon aus, dass diese Aufklärung der Vorbereitung dient, um später physische Schäden anzurichten oder Prozesse zu stören.
Gelingt ein Angriff auf die Steuerungen, drohen Produktionsausfälle, beschädigte Maschinen oder manipulierte Sicherheitssysteme. Betroffen sind sämtliche Modelle der S7-Serie, von der älteren S7-200 bis zur aktuellen S7-1500.
Was Anlagenbetreiber jetzt tun müssen
Um die Steuerungen abzusichern, empfehlen die Behörden dringende Updates. Betreiber sollen aktuelle Sicherheits-Patches für die Firmware sowie für die Programmierumgebungen TIA Portal und STEP 7 einspielen.
Noch wichtiger ist die physische oder virtuelle Netzwerktrennung. Die Siemens-Steuerungen dürfen nicht direkt über das Internet erreichbar sein. Unternehmen sollen ihre Firewalls anpassen und den TCP-Port 102 blockieren. Über diesen kommuniziert das S7comm-Protokoll der Steuerungen.
Betreiber müssen zudem prüfen, ob starke Passwörter gesetzt sind und externe Dienstleister nur über sichere Verbindungen zugreifen. Wer weitere Unterstützung bei der Konfiguration benötigt, kann sich direkt an das ProductCERT von Siemens wenden.
