In Kiew blieb letztes Jahr kurz vor Weihnachten tagelang das Licht aus. Schuld war eine hochaggressive Malware, die die ukrainische Stromversorgung angegriffen hatte. Bei IT-Experten wie den Sicherheitsforschern von Eset, die den Trojaner entdeckt haben, erhärtet sich der Verdacht: Es handelte sich höchstwahrscheinlich um das Schadprogramm Industroyer, auch CrashOverride genannt.
Das macht Industroyer so gefährlich
Industroyer kann sich über Wochen in die Steuerungssysteme von Umspannwerken einnisten, um die dort ablaufenden Prozesse auszuspionieren und die Sprache des Systems zu erlernen. Diese Erkenntnisse trägt der Trojaner über das Tor-Netzwerk nach außen. Da sich die Malware die Sprache des Wirt-Systems angeeignet hat, konnte sie die Schadbefehle entsprechend maskieren, sodass sie bei oberflächlicher Betrachtung kaum von der normalen Anlagenkommunikation unterscheidbar waren.
Seine Lernfähigkeit und Flexibilität macht Industroyer so gefährlich, da er sich an verschiedene kritische Infrastrukturen anpassen kann. Im Unterschied zum Stuxnet, das auf das Sabotieren iranischer Urananreicherungsanlagen zugeschnitten war, kann die modulare Malware unterschiedliche Arten und Kombinationen von Anlagen schädigen.
Für kritische Infrastrukturen reicht eine Firewall nicht
„Diese Schadsoftware zeigt erneut eindeutig, dass Kritische Infrastruktur vor Angriffen unbekannter Art nicht ausreichend geschützt ist“, mahnt Klaus Mochalski, Geschäftsführer von Rhebo. „Es ist eine Illusion, dass Firewalls, Virenscanner und Intrusion Detection-Systeme ganz allein die Steuernetze Kritischer Infrastruktur absichern können. Herkömmliche Strategien schützen nur vor bereits bekannten Angriffsarten. Die Einfallweisen ändern sich jedoch stetig. Meist ist der Eindringling erst erkannt, wenn es schon längst zu spät ist.“
