Das steckt hinter den Sabotage-Wellen auf Europas Kühlregale
In nur einem Monat sind hunderte Kühlanlagen in Geschäften, Lagern und medizinischen Einrichtungen in mehreren europäischen Ländern durch Hacker manipuliert worden. Zuletzt erwischte es auch Firmen in der Schweiz.
Nun gibt es verschiedene Erkenntnisse dazu, wer hinter der jüngsten Angriffswelle stecken könnte. Wir müssen aber auch über die Versäumnisse auf Opferseite sprechen.
Was ist passiert?
In den USA haben Bundesbehörden wie die CISA, das FBI und das Gesundheitsministerium am Donnerstag eine Warnung publiziert. Sie fordern Betreiber von industriellen Kühlanlagen auf, dringend ihre Cybersicherheit zu erhöhen.
Insbesondere wird Spitälern, Supermärkten, dem Transportwesen und anderen Kühlanlagenbetreibern geraten, Temperaturschwankungen genauer zu überwachen. Und sie sollen sicherstellen, dass ihre Steuerungssysteme nicht ungeschützt über das Internet erreichbar sind.
Die aktuelle Angriffswelle traf erneut Europa.
Das zuständige Bundesamt für Cybersicherheit (BACS) behandelt Angriffsmeldungen vertraulich. Man äussere sich nicht detailliert zu einzelnen Vorfällen oder betroffenen Unternehmen. Bisher sei eine meldepflichtige Meldung zu einem Angriff auf gewerbliche Kühlanlagen eingegangen, teilte Mediensprecherin Manuela Sonderegger am Freitag mit.
Was wissen wir zu den Angriffswellen?
Die erste Angriffswelle startete in der Nacht auf den 12. Oktober (Montag). Hacker übernahmen die Kontrolle über Steuerungen von Kühlanlagen in mindestens neun Ländern, darunter Belgien, Luxemburg, Schweden und Irland.
Auch in Frankreich wurden Kühlregale und Gefrierschränke in den Abtau-Modus versetzt und die Innentemperaturen auf 50 Grad Celsius hochgetrieben. Tonnen von frischen und gefrorenen Lebensmitteln verdarben und in mehreren Geschäften brachen laut Medienberichten Brände aus.
Die zweite Angriffswelle fand in der Nacht auf den 2. November statt. Also wiederum ein Montag.
Dieses Mal erstreckten sich die Angriffe über zehn europäische Länder, darunter Frankreich, Deutschland, Schweden, die Niederlande, Luxemburg, Estland und die Schweiz.
Betroffen waren auch Kühlräume der französischen Blutspende-Organisation EFS. Glücklicherweise konnte das Personal rechtzeitig eingreifen, sodass keine Blutkonserven entsorgt werden mussten.
Ob die jüngsten anonymen Bombendrohungen gegen diverses Airlines und die Störungen des europäischen Luftverkehrs damit zusammenhängen, ist nicht bekannt.
Wo ist das eigentliche Problem?
Die öffentlich bekannten Informationen zur Sabotage von Kühlanlagen in Europa lassen auf technische Versäumnisse seitens der betroffenen Anlagenbetreiber schliessen.
Erneut rücken sogenannte OT-Systeme in den Fokus. Das Kürzel steht für «Operational Technology». Gemeint sind Hardware und Software, die industrielle Anlagen überwachen und steuern und ihrerseits attackiert werden können.
Zwar liegt die direkte kriminelle Handlung bei den unbekannten Personen, die in fremde IT-Systeme eindringen und dort die Steuerungen solcher Anlagen manipulieren.
Doch nur das Vernachlässigen von grundlegenden IT-Sicherheitsvorkehrungen hat Sabotageakte in diesem Massstab überhaupt erst möglich gemacht. Die Hacker brauchten gar keine leistungsfähigen Angriffswerkzeuge.
Die italienische Nachrichtenagentur ANSA sprach mit dem IT-Experten Stefano Zanero, Professor für Cybersicherheit an der Polytechnischen Universität Mailand. Er sagte:
Diese Geräte werden nicht häufig aktualisiert, sind aber deutlich länger im Einsatz als etwa Haushaltsgeräte. Viele von ihnen waren nicht für die Internetanbindung konzipiert, wurden aber später umgerüstet, da die Internetverbindung enorme wirtschaftliche und funktionale Vorteile bietet.»
Wegen KI wächst das Risiko
Bekanntlich ermöglichen besonders leistungsfähige KI-Modelle das Auffinden von Schwachstellen und Entwickeln gefährlicher Angriffswerkzeuge, sogenannter Exploits.
Dies gilt nicht nur für «Consumer»-Massenprodukte von Apple, Google oder Microsoft, sondern auch für industrielle Systeme. Und die allermeisten davon sind heutzutage ebenfalls über das Internet erreichbar. Allerdings offenbar längst nicht mit den gleichen Schutzvorkehrungen.
Die IT-Sicherheitsfachleute beim Bundesamt für Cybersicherheit (BACS) weisen auf die KI-Problematik hin:
Die Bedrohungslage für kritische Infrastrukturen bleibe hoch, und die Angriffe seien in den letzten Jahren gezielter und anspruchsvoller geworden, teilt die Behörde mit.
Wie gehen die «Kühlschrank-Hacker» vor?
Die Angreifer scannen zunächst automatisiert ganze Internet-Adressbereiche, um mögliche Industrieanlagen zu finden. Mithilfe von Tools sammeln sie die direkt via Internet erreichbaren IP-Adressen und erstellen Ziellisten. Dann schränken sie die anzugreifenden Anlagen geografisch ein.
Zum Zeitpunkt X dringen Hacker in die entsprechenden IT-Systeme der Anlagenbetreiber ein. Um bei den gekühlten Produkten maximalen Schaden anzurichten, führen sie die Temperaturerhöhungen gezielt über Nacht durch.
Eine IT-Sicherheitsfirma kommentierte bei X:
Nur die ordnungsgemässe Nutzung der Funktionen, die der Hersteller ursprünglich in die Geräte integriert hat. Das Ergebnis: Lebensmittel beginnen zu verderben, und die Betreiber der Infrastruktur erinnern sich plötzlich daran, dass kritische Systeme nicht ohne angemessenen Schutz belassen werden dürfen.»
Wie kommt man den Angreifern auf die Spur?
Cybersicherheitsfirmen wie Previdian, Lupovis und Sekoia richteten sogenannte «Honeypots» ein – das sind digitale Fallen, um die Hacker anzulocken und deren Methoden gefahrlos zu studieren. Konkret richteten die Sicherheitsforscher auf eigenen Servern ein über das Internet angreifbares, aber natürlich nur simuliertes Kühlanlagensystem ein.
Dabei machte die schottische Firma Lupovis eine bemerkenswerte Entdeckung: Die Täter scannten und sondierten ausschliesslich europäische Ziele. Honeypots in Südamerika, Afrika oder auch in der Ukraine blieben unberührt.
Lupovis betreibt gemäss BBC über die ganze Welt verteilt solche Honeypots. Bereits zehn Tage vor der zweiten Welle von Cyberangriffen hätten sich «erste Aktivitäten» gezeigt.
Interessante Parallele: Die meisten Ransomware-Banden führen keine erpresserischen Cyberangriffe gegen Unternehmen und Organisationen im russischen Sprachraum bzw. auf dem Gebiet der früheren Sowjetunion aus. Auch diese Cyberkriminellen fokussieren auf Europa und Nordamerika.
Wer steckt hinter den Angriffswellen?
Das ist nicht öffentlich bekannt. Möglicherweise sind voneinander unabhängige Täter oder Tätergruppen am Werk.
Basierend auf den bislang vorliegenden Informationen gibt es mehrere Theorien zur Urheberschaft:
- Prorussische Hacktivistengruppen haben kürzlich online die Verantwortung für die Sabotageakte gegen europäische Supermärkte übernommen
- Die Hacktivisten-Gruppen Noname057(16) und Z-Pentest Alliance prahlten diese Woche im Internet damit, Industrie-Steuerungssysteme bekannter Hersteller wie des dänischen Danfoss-Konzerns oder des italienischen Unternehmens Dixell gehackt zu haben.
- Die französische Cybersicherheitsfirma Sekoia gab an, dass die Angriffe Merkmale russischer «hybrider Kriegsführung» aufweisen könnten.
- Der Kreml hat jegliche Verwicklung in die Vorfälle entschieden zurückgewiesen.
- Experten schliessen auch iranische Akteure als Angreifer nicht aus, da diese in der Vergangenheit ähnliche Anlagen in israelischen Supermärkten und bei US-Militärstützpunkten ins Visier genommen haben.
- Selbst ein bösartiger, koordinierter «Streich» von Teenagern wird nicht völlig ausgeschlossen.
- Das Mass an Planung für die zeitgleich durchgeführten Angriffe spricht für eine gut organisierte Gruppe.
Previdian
Zu den Verdächtigen gehören zwei pro-russische Hacktivisten-Gruppen, die sich diese Woche mit einem Bekenner-Video meldeten, das später wieder gelöscht wurde.
1. Eine Gruppe nennt sich Z-Pentest und ist dafür bekannt, ungeschützte industrielle Steuerungssysteme zu manipulieren und bei X und Telegram damit zu prahlen. Wegen Cyberangriffen auf Betriebe, die zur kritischen Infrastruktur gehören, ist die Gruppe im Juli von der EU sanktioniert worden. Wegen «bösartiger Cyberaktivitäten» wird gegen neun russische Einzelpersonen und vier Organisationen vorgegangen.
2. Die andere Gruppe heisst NoName057(16). Sie gilt als vergleichsweise harmlos und ist auch in der Schweiz bekannt. Sie führt seit der Eskalation des russischen Angriffskrieges gegen die Ukraine, 2022, Server-Überlastungsangriffe (DDoS) in Europa durch. Dabei handelt es sich nicht um Hackerangriffe, sondern Cybervandalismus. Im Visier sind alle Länder, die die Ukraine unterstützen und Russland sanktionieren.
Sicherheitsanalysten stehen diesen Behauptungen skeptisch gegenüber. NoName057(16) hat eine Vorgeschichte von Falschbehauptungen, bei denen fremde Angriffe nachträglich für eigene Propagandazwecke reklamiert wurden.
Nehmen die Täter gezielt gewisse Firmen ins Visier?
Nein. Dafür gibt es keine Belege.
In der SRF-«Tagesschau» war am Donnerstagabend von «gezielten» Cyberangriffen die Rede. Tatsächlich liegen keine Hinweise vor, dass die Täter zum Beispiel absichtlich eine bestimmte Metzgerei im Kanton Bern hacken wollten.
Cybersicherheits-Fachleute unterscheiden zwischen opportunistischen und zielgerichteten Angriffen. In technischer Hinsicht erscheinen die jüngsten Attacken gegen Kühlanlagen zufällig. Die Täter gehen den Weg des geringsten Widerstands und attackieren willkürlich Opfer mit schwachen Sicherheitsvorkehrungen. Hingegen ist bei der geografischen Auswahl der Ziele eine bewusste Auswahl zu beobachten. Die aktuelle Angriffswelle traf ausschliesslich Opfer in Europa.
Unabhängig davon, wer die Verantwortung trägt, betonen IT-Sicherheitsexperten, dass die Angriffe auf die Kühlsysteme kein grosses Hacking-Know-how erforderten.
SRF-Digitalredaktor Reto Widmer kommentierte:
Welche Verantwortung trifft die Firmen?
Die Schuld der Betreiber
Den Betreibern von gehackten Kühlanlagen wird eine erhebliche Fahrlässigkeit bei der eigenen Netzwerksicherheit vorgeworfen. Laut den öffentlichen Warnungen von US-Behörden waren viele der kritischen Anlagen direkt und ohne Schutz mit dem öffentlichen Internet verbunden.
Zudem wurden seitens der Kühlanlagen-Betreiber grundlegende IT-Sicherheitsvorkehrungen missachtet: Geräte wurden mit den voreingestellten Standard-Passwörtern der Hersteller betrieben und wichtige Firmware-Updates («Patches») waren nicht installiert worden. Die Firmen haben es somit versäumt, offene digitale Hintertüren zu schliessen.
Die Verantwortung der Hersteller
Auch die Entwickler der Steuerungssysteme tragen eine Mitverantwortung. Wie die US-Cybersicherheitsbehörde CISA detailliert auflistet, nutzten die Angreifer Schwachstellen in sogenannten «Controllern» aus. Das sind spezialisierte Elektronik-Komponenten für die Kühlanlagen-Steuerung.
Die System-Software solcher Industrieanlagen ist häufig nicht auf dem neuesten Stand. Bekannte Sicherheitslücken werden nicht immer durch Aktualisierungen geschlossen. Hinzu kommt, dass gewisse Anlagen ab Werk mit unsicheren Zugängen (Standard-Passwörtern) ausgeliefert werden.
Dies ermöglicht Hackern das Umgehen von Authentifizierungen und das Einschleusen von bösartigem Code.
Wie reagieren die betroffenen Hersteller?
Recherchen zeigten, dass Steuerungssysteme des dänischen Herstellers Danfoss oft nur mit Standard-Passwörtern vor ungewollten Zugriffen geschützt waren.
In einer Stellungnahme erklärte Danfoss, dass es sich bei den meisten betroffenen Geräten um «ältere Produkte oder aktuelle Produkte mit veralteter Firmware» handle.
Das Bundesamt für Cybersicherheit empfiehlt, die seitens Hersteller verfügbaren Sicherheitsupdates «möglichst automatisiert oder zeitnah einzuspielen». Geräte ohne Hersteller-Support sollten hingegen – wenn möglich – nicht mehr eingesetzt werden. Sei ein Weiterbetrieb notwendig, brauche es besondere Schutzmechanismen, «insbesondere eine abgeschottete Netzwerkzone ohne direkten Internetzugriff».
Gab es Vorfälle ausserhalb Europas?
Ja. In den USA. Wie oben erwähnt, warnen die dortigen Behörden und haben Untersuchungen lanciert.
Bereits Ende August wurden Gefriersysteme in mindestens sechs US-Militärstützpunkten in den Abtau-Modus versetzt. Das US-Verteidigungsministerium behandelt die Vorfälle als mögliche Cyberangriffe. Es ist unklar, ob ein direkter Zusammenhang mit den europäischen Wellen besteht.
Auch in den Vorjahren war es immer wieder zu einzelnen Cyberangriffen auf Kühlanlagen gekommen.
Quellen
- politico.com: US agencies issue warning after spate of cyberattacks on refrigerators (5. November)
- cisa.gov: US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems
- nzz.ch: Russische Aktivistengruppen bekennen sich zum Cyberangriff auf Kühlregale in Europa. Doch stimmt das? (5. Nov.)
- srf.ch: Erst Kühltruhen, nun Blutkonserven: Cyberangriffe weiten sich aus (5. Nov.)
- bbc.com: French blood storage impacted by freezer hacks as theories swirl about culprits (4. Nov.)
- ansa.it: Non solo supermercati, tutti i sistemi industriali vulnerabili a cyberattacchi (3. Nov.)
- theguardian.com: Who is hacking Europe’s supermarket fridges and freezers, and why? (2. Nov.)
- coolingpost.com: Danfoss moves to mitigate cyberattack (12. Okt.)
