Cyber-Security - Adlas - Magazin für Sicherheitspolitik

AUFRÜSTUNG
behalten sich deshalb in einseitigen Erklärungen das Recht auf konventionelle
militärische Reaktionen vor, ohne näher einzugrenzen, ab wann Angriffe
gegen ihre IT-Systeme als Cyberattacke angesehen und wie die sehr
unterschiedlichen Techniken von Angriffen bewertet werden.
Eine Möglichkeit, Cyberkrieg von Phänomenen der Cyberkriminalität zu
differenzieren, ist die Analyse der technologischen Qualität der bisher entdeckten
staatlichen Malware und deren Einsatz. Die Untersuchung zeigt,
dass eine Unterscheidung auf dieser Ebene weniger in den einzelnen Infektions-,
Verbreitungs- und Verschleierungstechniken besteht, als vielmehr in
der Qualität, der Integration der unterschiedlichsten Methoden und dem
Entwicklungsaufwand, um eine Malware auf Ziel und Zweck auszurichten.
Hinzu kommt die mögliche Unterstützung durch Nachrichtendienste.
Die erste Malware, die vor diesem Hintergrund für Aufsehen sorgte, war
das im Juni 2009 entdeckte »Stuxnet«, dessen Hauptzweck in der verborgenen
Manipulation und Sabotage von Industriesteuerungsanlagen iranischer
Urananreicherungszentrifugen bestand. Derartige kritische Computer- und
Industrieanlagen werden aus Sicherheitsgründen in aller Regel vom Internet
entkoppelt um einen unbefugten Zugriff zu unterbinden. Dieser sogenannte
»Air-Gap« wurde bei Stuxnet vermutlich mit Hilfe eines infizierten USB-
Sticks überwunden. Bei diesem, auch aus dem Bereich der klassischen Cyberkriminalität
bekannten Angriffsmuster, wird ein USB-Stick gezielt platziert,
DIGITALE ZERTIFIKATE
sind mit einem Ausweis vergleichbar, der von dazu berechtigten Instanzen ausgestellt
und mittels geeigneter Technik, in diesen Fall kryptografische Verfahren,
gegen Fälschungen gesichert wird. Digitale Zertifikate werden zum Beispiel
von Betriebssystem-Herstellern an externe Software-Anbieter verteilt, die ihre
Programme damit signieren. Auf Seiten des Anwenders wird anhand dieser Signaturen
bei Betriebssystem-kritischen Installationen die Authentizität und Integrität
des zu installierenden Programms geprüft um Manipulationen durch
heimlich eingeschleusten Schadcode zu erkennen und auszuschließen. Digitale
Zertifikate werden aber auch bei Zugriffen auf kritische Systeme wie Online-
Bankkonten verwendet, um die Authentizität des Servers zu garantieren.
um beispielsweise einen Mitarbeiter zur unabsichtlichen Infektionen durch
den als »verloren aufgefundenen« Stick zu bewegen. Andere Wege bestehen
in der Infektion bei physischen Zugriffsmöglichkeiten wie Flughafenkontrollen
oder klassischen Geheimdienstoperationen, bei denen beispielsweise
Mitarbeiter der Anlagen für die Infiltration eingesetzt werden.
Die eigentliche Infektion des Computers mit Stuxnet erfolgte durch Einstecken
des USB-Sticks, wobei zwei Zero-Day-Exploits der Microsoft
Windows Betriebssysteme genutzt wurden, um den Schadcode automatisch
und verdeckt auszuführen. Infizierte Rechner wurden dann automatisch derart
präpariert, dass sie jeden weiteren USB-Stick infizierten, gesammelte Daten
auf USB-Sticks versteckten, sowie die Malware über lokale Netzwerkordner
und Netzwerkdrucker weiter verbreiteten.
Um die Sabotage über Monate hinweg
zu verbergen, war ein
immenser Aufwand notwendig.
Um diese tief greifenden Änderungen am Betriebssystem vorzunehmen, wurden
weitere, teilweise unbekannte, Sicherheitslücken sowie sogenannte digitale
Zertifikate verwendet, um Stuxnet als legitime Software zu tarnen. Diese
digitalen Zertifikate waren im Vorfeld zwei asiatischen Firmen gestohlen
worden, was seinerseits einen komplexen physischen oder Cyber-Einbruch
erfordert haben dürfte, da derartige Zertifikate in aller Regel besonders gesichert
und digital verschlüsselt aufbewahrt werden.
Die Schadfunktion von Stuxnet war für eine spezifische Modellreihe von
SCADA-Industriesteuerungseinheiten der Firma Siemens programmiert. Diese
Geräte werden für die Überwachung und Regelung von Pumpen, Ventilen und
ähnlichem eingesetzt. Mittels einer Modifikation der zentralen Steuerungssoftware
wurde die angeschlossene Regelungselektronik umprogrammiert. Dieses
Vorgehen bedingte spezielles Expertenwissen über technische Interna der Sie-
>>
ADLAS 1/2013 ISSN 1869-1684 8