Stuxnet ist ein Computerwurm, der auf die Arten industrieller Steuersysteme (ICS) abzielt, die üblicherweise in infrastrukturunterstützenden Einrichtungen (z. B. Kraftwerken, Wasseraufbereitungsanlagen, Gasleitungen usw.) verwendet werden.
Der Wurm soll oft erst 2009 oder 2010 entdeckt worden sein, tatsächlich wurde jedoch bereits 2007 das Nuklearprogramm des Iran angegriffen. Damals wurde Stuxnet vor allem im Iran, in Indonesien und in Indien gefunden, was einem Anteil von über 85% entspricht. aller Infektionen.
Seitdem hat der Wurm Tausende Computer in vielen Ländern getroffen, einige Maschinen sogar völlig zerstört und einen großen Teil der iranischen Atomzentrifugen ausgelöscht.
Was macht Stuxnet?
Stuxnet wurde entwickelt, um die in diesen Anlagen verwendeten Speicherprogrammierbaren Steuerungen (SPS) zu ändern. In einer ICS-Umgebung automatisieren die SPS industrielle Aufgaben wie die Regulierung der Flussrate, um die Druck- und Temperatursteuerung aufrechtzuerhalten.
Es ist so aufgebaut, dass es sich nur auf drei Computer ausbreiten kann, aber jeder davon kann sich auf drei andere ausbreiten, und so verbreitet er sich.
Ein weiteres Merkmal ist die Verbreitung auf Geräte in einem lokalen Netzwerk, die nicht mit dem Internet verbunden sind. Zum Beispiel kann es über USB auf einen Computer übertragen werden, sich dann aber auf andere private Computer hinter dem Router ausbreiten, die nicht für Netzwerke außerhalb des Netzwerks eingerichtet sind, was dazu führt, dass Intranet-Geräte sich gegenseitig infizieren.
Ursprünglich waren die Gerätetreiber von Stuxnet digital signiert, da sie aus legitimen Zertifikaten gestohlen wurden, die für JMicron- und Realtek-Geräte gelten, sodass sie sich ohne verdächtige Aufforderungen an den Benutzer problemlos installieren können. Seitdem hat VeriSign die Zertifikate jedoch widerrufen.
Wenn der Virus auf einem Computer landet, auf dem nicht die richtige Siemens-Software installiert ist, bleibt er unbrauchbar. Dies ist ein wesentlicher Unterschied zwischen diesem Virus und anderen Viren, da es für einen sehr speziellen Zweck erstellt wurde und auf anderen Computern nichts Schändliches tun will.
Wie erreicht Stuxnet SPSen?
Aus Sicherheitsgründen sind viele der in industriellen Steuerungssystemen verwendeten Hardwaregeräte nicht mit dem Internet verbunden (und oft nicht einmal mit lokalen Netzwerken verbunden). Um dem entgegenzuwirken, verfügt der Stuxnet-Wurm über mehrere hoch entwickelte Ausbreitungswege, mit denen das Ziel erreicht wird, STEP 7-Projektdateien zu erreichen und zu infizieren, die zum Programmieren der SPS-Geräte verwendet werden.
Für die Erstausbreitung zielt der Wurm auf Computer, auf denen Windows-Betriebssysteme ausgeführt werden. Dies geschieht normalerweise über ein Flash-Laufwerk. Die SPS selbst ist jedoch kein Windows-basiertes System, sondern ein proprietäres Gerät in Maschinensprache. Daher durchquert Stuxnet einfach Windows-Computer, um zu den Systemen zu gelangen, die die SPS verwalten, auf denen es seine Nutzlast erzeugt.
Um die SPS neu zu programmieren, sucht und infiziert der Wurm Stuxnet STEP-7-Projektdateien, die von Siemens SIMATIC WinCC verwendet werden, einem übergeordneten Steuerungs- und Datenerfassungsgerät (SCADA) und einem HMI-System (Human Machine Interface), mit dem die SPS programmiert werden.
Stuxnet enthält verschiedene Routinen, um das spezifische SPS-Modell zu identifizieren. Diese Modellprüfung ist erforderlich, da die Anweisungen auf Maschinenebene bei verschiedenen SPS-Geräten variieren können. Sobald das Zielgerät identifiziert und infiziert ist, übernimmt Stuxnet die Kontrolle, um alle in die SPS fließenden oder aus ihr fließenden Daten abzufangen, einschließlich der Möglichkeit, diese Daten zu manipulieren.
Namen Stuxnet geht vorbei
Im Folgenden finden Sie einige Möglichkeiten, wie Ihr Antivirenprogramm den Stuxnet-Wurm identifizieren kann:
- F-Secure: Trojan-Dropper: W32 / Stuxnet
- Kaspersky: Rootkit.Win32.Stuxnet.b oder Rootkit.Win32.Stuxnet.a
- McAfee: Stuxnet
- normannisch: W32 / Stuxnet.A
- Sophos: Troj / Stuxnet-A oder W32 / Stuxnet-B
- Symantec: W32.Temphid
- Trend Micro: WORM_STUXNET.A
Stuxnet könnte auch einige "Verwandte" haben, die nach Namen wie Duqu oder Flame gehen.
So entfernen Sie Stuxnet
Da die Software von Siemens gefährdet ist, wenn ein Computer mit Stuxnet infiziert ist, ist es wichtig, diese zu kontaktieren, wenn der Verdacht auf eine Infektion besteht.
Führen Sie auch einen vollständigen Systemscan mit einem Antivirenprogramm wie Avast oder AVG oder einem On-Demand-Virenscanner wie Malwarebytes durch.
Es ist auch erforderlich, Windows auf dem neuesten Stand zu halten, was Sie mit Windows Update tun können.
