Siemens advarer deres kunder mod en ny sofistikeret virus, der går målrettet efter software, der anvendes i proces- og kontrolsystemer i produktionsvirkomheder og i energi- og forsyningssektorer.
Virussen spreder sig via en upatched sårbarhed i Windows-miljøer.
Sikkerhedseksperter mener, at virussen ser ud til at være af en type som eksperterne har advaret om i mange år: Ondsindet software som er designet til at infiltrere it-systemer, der anvendes i fabrikker og til at drive samfundsvigtig infrastruktur som energiforsyning, kraftværker og vandforsyning.
Eksempel på trussel mod SCADA-systemer
Det er de såkaldte Supervisory Control and Data Acquisition-systemer (SCADA), som sikkerhedseksperterne gennem lang tid har advaret om kan være sårbare.
Computerworld har tidligere beskrevet, hvordan samfundsvigtig infrastruktur er sårbar, fordi systemerne kører på gamle Windows-systemer, ofte mangler patches og ikke er forsvarligt konfigurererede.
Bliver SCADA-systemerne inficerede, kan de anvendes til at tage kontrollen over el-forsyningen, varme-produktionen på et kraftværk eller produktionen i en fabrik. Den kontrol kan bruges til at stoppe produktionen eller fremprovokere en alvorlig ulykke.
Siemens fik kendskab til den nye trussel onsdag 14. juli oplyser talsmanden Michael Krampe fra Siemens Industry i en e-mail til IDG News Service.
"Virksomheden samlede øjeblikkeligt et hold af eksperter for at evaluere situationen. Siemens tager alle forholdsregler for at advare vores kunder mod de potentielle risici fra denne virus," lyder det fra Siemens.
Leder efter specifikt Siemens-system
De første analyser af virussen tyder dog på, at virussen mere er beregnet til at stjæle industrihemmeligheder fra fremstillingsvirksomheder og fabrikker frem for at skabe produktionsstop eller ulykker.
Virussen går målrettet efter Siemens' SCADA-system kaldet Simatic WinCC, som kører på Windows.
Virussen spredes når en inficeret USB-memory-stick indsættes i en computer.
Spredes via memorystick
Når memory-sticken er indsat i pc'en, går virussen igang med at scanne efter Siemens WinCC-systemet eller en anden USB-enhed, oplyser Frank Boldewin, sikkerhedsanalytiker hos tyske GAD, som har undersøgt koden for virussen.
Virussen kopierer sig over på andre USB-enheder den finder, og hvis den opdager Siemens WinCC-systemet, forsøger den at logge på med et default password.
Ofte er SCADA-systemer ikke konfigureret særligt godt sikkerhedsmæssigt, hvilket eksempelvis giver sig udslag i, at default passwords ikke er blevet ændret til et mere sikkert password.
Derfor kan virussens teknik formentlig godt få succes med at få adgang til WinCC-systemet, oplyser Frank Boldewin til IDG News Service.
Anvender digital signatur fra Realtek
I nogle SCADA-miljøer kræver Windows en digital signatur og virussens bagmænd har tænkt på det. Virussen anvender en digital signatur som er tildelt chip-producenten Realtek.
Det er uklart, hvordan bagmændene til den ondsindede kode har fået adgang til til at kunne signere deres kode med Realtek's digitale signatur.
Industrispionage frem for sabotage?
Sikkerhedseksperten Wesley McGrew, stifter af McGrew Security og forsker på Mississippi State University fortæller IDG News Service, at angrebet synes at være rettet mod en specifik installation.
"HVis udviklerne ønskede at bryde ind i så mange computere som muligt i stedet for et specifikt mål, så ville de have forsøgt at udnytte mere udbredte SCADA-systemer som Wonderware eller RSLogix," siger Wesley McGrew.
Sikkerhedseksperter peger på, at kriminelle kan anvende informationen fra en fremstillingsvirksomheds WinCC-system til at finde ud af hvordan man kan efterligne virksomhedens produkter.
