Risiko für Industrieanlagen Neuer Stuxnet-Virus erschreckt Sicherheitsprofis

Er ist kleiner, gemeiner als sein Vorgänger und hat ein bisher unbekanntes Angriffsziel: Sicherheitsforscher haben eine neue Variante des Computerschädlings Stuxnet entdeckt. Bisher habe die Software keinen Schaden angerichtet - allerdings wurden schon potentielle Ziele ausgespäht.

Stuxnet-Variante als Aufklärungsdrohne: Vorbereitung für einen neuen Angriff?
DPA

Stuxnet-Variante als Aufklärungsdrohne: Vorbereitung für einen neuen Angriff?

Von und


Das ist der Wegbereiter des nächsten Stuxnet-Angriffs - so fassen Forscher des Antivirus-Dienstleisters Symantec ihre Analyse einer neuen Schadsoftware zusammen. Stuxnet war vor einem Jahr als Vorbote einer neuen Form von Computerschädlingen bekannt geworden: Das Programm war mit enormem Aufwand gestaltet worden, um Industrieanlagen zu sabotieren.

Der Stuxnet-Nachfolger Duqu scheint den nächsten derartigen Angriff vorzubereiten. Duqu sucht nach Insider-Informationen zu Steuerungssystemen von Industrieanlagen, berichtet Symantec.

Mysteriöse Quellen

Woher Symantec die Duqu-Dateien erhalten hat, verschweigen die Autoren der Analyse. Am 14. Oktober habe ein Forschungslabor mit "vielen internationalen Verbindungen" Symantec auf den neuen Trojaner hingewiesen und Dateien zur Analyse eingeschickt. Diese Daten sollen von Rechnern in Europa stammen.

Die mysteriöse Forschungsinstitution habe Symantec auch eine eigene, 46-seitige Analyse des Schädlings übermittelt - die Autoren bezeichnen sich als Forscher, die Schadsoftware analysieren. Am 17. Oktober habe eine weitere Organisation aus Europa andere Duqu-Varianten an Symantec gesendet.

Wegbereiter eines neuen Angriffs

Die Symantec-Forscher bezeichnen Duqu auf Basis ihrer Analyse als Wegbereiter eines neuen Angriffs im Stuxnet-Stil. Als Belege für diese These führen die Autoren diese Details auf:

  • Die Schöpfer von Duqu hatten offenbar Zugriff auf den Quellcode des Schädlings Stuxnet.
  • Die Software habe keine Funktion zur autonomen Weiterverbreitung gehabt. Sie sei stattdessen sehr zielgerichtet eingesetzt worden - in Rechnersystemen, wo "Hintergrundinformationen" zum Aufbau von Kontrollsystemen in Industrieanlagen zu finden sind.

Den Symantec-Forschern zufolge unterscheidet sich Duqu signifikant von Stuxnet, weil er kein Wurm ist und sich nicht selbst replizieren kann. Man könnte ihn als Aufklärungsdrohne bezeichnen, deren Zweck es ist, möglichst viele Informationen über potentielle Angriffsziele zu sammeln, heißt es.

Fotostrecke

5  Bilder
Stuxnet-Wurm: Heimlich entwickelt in Israel und den USA?
Stuxnet wurde in Steuerungsrechner iranischer Atomaufbereitungsanlagen eingeschleust und manipulierte offenbar monatelang unentdeckt die Drehzahlen der zur Urananreicherung benutzten Zentrifugen, welche durch die Unregelmäßigkeiten schadhaft wurden, ausfielen und ersetzt werden mussten.

"Was uns erstaunt, ist, dass diese Leute immer noch aktiv sind", sagt Symantec-Experte O'Murchu gegenüber "Wired". Wir dachten, sie hätten sich nach all der Publicity um Stuxnet zurückgezogen. Aber das ist offensichtlich nicht der Fall. Sie waren im vergangenen Jahr eindeutig aktiv." Es liege nahe, dass die Informationen, welche die Autoren mit ihrer Schadsoftware jetzt sammeln, für einen neuen Angriff genutzt werden sollen.

Jpeg-Bilder tarnen die Datenübertragung

Wohl auch, weil er keine Schäden anrichten soll, ist Duqu mit 300 Kilobyte kleiner als Stuxnet. Die Daten, die er abgreift, sendet der Aufklärungsschädling an einen Kommando- und Steuerungs-Server, von dem er auch neue Programmbestandteile nachladen kann. Um seine Datenübertragungen zu tarnen, damit sie von Schutzprogrammen nicht erkannt wird, versendet er seine Datenpakete getarnt als Jpeg-Bilder.

Wer auch immer Duqu kontrollierte, hat laut Symantec auf infizierten Systemen ein weiteres Programm nachgeladen, einen sogenannten Keylogger. Der protokolliere Tastatureingaben, um so Logins und Passworte in Rechnernetzen auszuspähen.

Symantec berichtet, man habe im eigenen Archiv von Kunden eingeschickter Schädlinge eine Duqu-Variante entdeckt, die am 1. September gemeldet wurde. Eine Analyse der Dateien deute darauf hin, dass Duqu schon im Dezember 2010 eingesetzt worden sein könnte.

Die Symantec-Forscher warnen in ihrem Bericht: "Es ist möglich, dass derzeit weitere Angriffe gegen andere Organisationen mit bislang unentdeckten Varianten laufen."

Forum - Diskutieren Sie über diesen Artikel
insgesamt 61 Beiträge
Alle Kommentare öffnen
Seite 1
Schwede2 19.10.2011
1. Die IT-Sicherheit in D ist sehr dünne, um es mal ganz...
Zitat von sysopEr ist kleiner, gemeiner als sein Vorgänger und hat ein bisher unbekanntes Angriffsziel: Sicherheitsforscher haben eine neue Variante des Computerschädlings Stuxnet entdeckt. Bisher habe die Software keinen Schaden angerichtet - allerdings wurden schon potentielle Ziele ausgespäht. http://www.spiegel.de/netzwelt/web/0,1518,792640,00.html
...vorsichtig auszudrücken. Bisher wird mehr in die Verfügbarkeit investiert, denn in die Abwehr von Bedrohungen. Nicht mal die Erstellung von Sicherheitskopien wird überall ernst genommen. Den Staat interessiert's nicht, hat er doch wie zum Beweis den Begriff der "kritischen Infrastruktur" geprägt, aber nirgendwo festgeschrieben, was er darunter konkret versteht. Nicht einmal eine Check-Liste gibt es, die Voraussetzungen benennt, unter denen eine Einrichtung "kritisch" ist. Total lachhaft für die Sicherheits-Paranoiker der deutschen Politik. Ach ja, eine Liste sicherheitskritischer Einrichtungen gibt es natürlich auch nicht. Und das 10 Jahre nach Nine-Eleven. Das Internet ist eine sehr schöne Geschichte, aber es öffnet Tore nach Außen, die nicht ganz trivial abzuschotten sind. Trotzdem werden immer mehr zentrale Steuerungen an dislozierten Strukturen vorgenommen, genau über dieses Internet. Das wird sich irgendwann rächen. Es ist nicht die Frage ob, sondern nur wann, was und wo.
SPON-tan 19.10.2011
2. Aufklärung beim Hersteller relevanter Systeme?
Hört sich fast so an, als sei das die Aufklärungssoftware zur Analyse von Angriffszielen, auf die dann zB Stuxnet angesetzt wird. Unternehmen wie Siemens sollten da hellhörig werden. Sicher gibt es auch noch andere Zulieferer von Steuerelektronik, deren Produkte für spätere Sabotageaktionen interessant sind.
WAZ 19.10.2011
3. Hohe Strafen für Virenerstellung
Virenerstellung, um Computer auszuspähen und zu zerstören sind keine Kavaliersdelikte sondern kriminelle Taten. Der angerichtete Schaden ist groß. Diese Kriminellen müssen hart bestraft werden. Wenn diese Typen gefasst werden, dann sitzen wie arme Sünder - meistens bleiche Typen mit Minderwertigkeitskomplexen - vor den Richtern und flennen und bedauern ihre Taten. Trotzdem sollten sie für viele Jahre eingelocht werden. Dabei können dieses Typen noch froh sein, wenn sie in westlichen Ländern verurteilt werden. In arabischen Ländern würden sie für ihre Taten ausgepeitscht werden.
goox 19.10.2011
4. ---
Glauben die Sicherheits"profis" ernstlich, dass es mal aufhört? Erschrecken dürfen Profis nicht. Desswegen empfehle ich den schreckhaften Profis einen Besuch beim dt. Cyberabwehrzentrum!
Marginalius 19.10.2011
5. seltsam
Hmmm. Die gefundenen Exemplare scheinen anscheinend von europäischern Rechnern zu stammen. Da frage ich mich als erstes, wer etwas davon haben könnte, wenn europäische Industrieanlagen manipuliert oder zerstört werden und vor allem was für Industrieanlagen das sein könnten, die einen solchen Aufwand wert sind. Ich kann mir nicht vorstellen, was Israel oder die USA davon hätten, wenn in Europa irgendeine Industrianlage ausfällt, wahrscheinlich dann auch nur kurzfristig. Welches Manipulationsergebnis könnte es den USA wert sein, einen solchen Aufwand zu betreiben? Um Industriespionage und ähnliches wird es dabei wohl nicht gehen, denn dafür hat die USA ganz andere Möglichkeiten. Also entweder der originale Stuxnet stammt garnicht von den USA, sondern von irgendjemand anderem (vielleicht China) und wird nun in naher Zukunft auch gegen Europa eingesetzt oder chinesische Staatshacker (etwa 150.000, die für das chinesische Militär arbeiten) haben irgendwann mal bei einem ihrer Beutezüge in amerikanischen Geheimdienst- und Militärnetzwerken den Quellcode des originalen Stuxnet abgegriffen und wollen ihn nun für sich selber nutzen. Oder die USA hat doch noch seltsame Pläne in Europa. Man weiß es nicht. Viele Grüße
Alle Kommentare öffnen
Seite 1

© SPIEGEL ONLINE 2011
Alle Rechte vorbehalten
Vervielfältigung nur mit Genehmigung der SPIEGELnet GmbH


TOP
Die Homepage wurde aktualisiert. Jetzt aufrufen.
Hinweis nicht mehr anzeigen.