Siemens IoT2050: Angreifer schleusen Botnet auf Simatic-Gateways
Geräte der Baureihe Simatic IoT2050 Advanced von Siemens werden aus dem Internet angegriffen. Wie der Sicherheitsdienstleister VulnCheck am Montag mitteilte, versuchen Angreifer, über eine bereits geschlossene Schwachstelle Botnet-Malware auf den Industrie-Gateways zu installieren.
Das Besondere an dem Fall: Die Lücke ist seit August bekannt und mit einem Firmware-Update behoben. Weil das Update aber nicht automatisch verteilt wird, laufen weiterhin unzählige Geräte mit verwundbarer Software.
Die Lücke: Node-RED ohne Anmeldung erreichbar
Betroffen sind Simatic-IoT2050-Advanced-Geräte vor der Firmware-Version 4.3.4.1, auf denen Node-RED installiert ist. Das Node.js-Werkzeug dient der grafischen Programmierung von Datenflüssen und bringt ein eigenes Webinterface mit.
In der verwundbaren Konfiguration war dieses Webinterface ohne Authentifizierung erreichbar. Angreifer konnten dadurch eigene Knoten anlegen und Systembefehle auf dem Gerät ausführen – mit den höchsten Rechten. Siemens hat die Version 4.3.4.1 bereitgestellt, die das Problem beseitigt.
16 Angriffe von einer einzigen IP-Adresse
VulnCheck hat nach eigenen Angaben auf dem System eines Unternehmens am vergangenen Freitag einen ersten Angriffsversuch protokolliert. Bis Sonntag zählten die Forscher 16 Angriffe von derselben IP-Adresse, jeweils mit unterschiedlichem Schadcode.
Die Exploits richteten einen Node-RED-Flow ein, lösten ihn automatisch aus und luden Binärdateien von Servern der Angreifer nach. Der Code war über drei Ebenen verschleiert. Die eigentliche Funktion der Malware haben die Forscher nicht analysiert, wohl aber Indicators of Compromise veröffentlicht. Die Angreifer-IP liegt im Netz von Microsoft und wird in Brasilien verortet.
Von derselben Adresse gingen zudem Missbrauchsversuche gegen sieben weitere Schwachstellen in anderer Software aus. Das spricht für automatisierte Suche nach erreichbaren Systemen statt für einen gezielten Angriff auf Siemens-Kunden.
Was Admins jetzt tun müssen
IT-Verantwortliche sollten prüfen, ob Simatic-IoT2050-Advanced-Geräte mit Node-RED im Einsatz sind, und die Firmware auf Version 4.3.4.1 oder neuer anheben. Alternativ nennt Siemens als Gegenmaßnahme, Node-RED zu deinstallieren oder die Installation zu härten.
Generell gilt: Industrie-Gateways und Node-RED-Instanzen gehören nicht ungeschützt ins Internet. Wer sie an der Netzgrenze betreibt oder von außen erreichbar lässt, muss mit automatisierten Angriffen rechnen und sollte Updates zügig einspielen.
Quellen
Hinweis: Dieser Beitrag wurde mit Unterstützung künstlicher Intelligenz (KI) erstellt.
No responses yet