Stuxnet

Stuxnet ist ein im Juli 2010 erstmals entdeckter Computerwurm, der für Angriffe auf WinCC- und PCS7-Systeme spezialisiert ist. Stuxnet kann die Microsoft-Betriebssysteme Windows NT, Windows ME, Windows 2000, Windows XP, Windows 2003, Windows Vista (32 Bit), Windows Server 2008 und Windows 7 infizieren. Nach Angaben der Computersicherheitsfirma Symantec handelt es sich dabei um den ersten Wurm, der Industriesysteme nicht nur ausspionieren, sondern auch deren Funktionsweise manipulieren kann. Der Wurm nutzt dazu die in WinCC fest einprogrammierten Zugangsdaten für den Microsoft SQL Server, vier verschiedene, ungepatchte Sicherheitslücken in Windows sowie zwei gestohlene digitale Signaturen der taiwanesischen Hardware-Hersteller Realtek und JMicron Technology aus. Nach Angaben von Siemens wurde der Wurm in 14 Anlagen gefunden. Schäden hätten jedoch nicht festgestellt werden können. Siemens bietet auf einer speziellen Website Beratung zum Stuxnet-Wurm an. Von den betroffenen Siemens-Kunden hätten fünf ihren Standort in Deutschland. Diese seien jedoch bereits wieder virusfrei.

IT-Sicherheitsspezialisten gehen davon aus, dass Stuxnet gezielt zur Sabotage iranischer Atomanlagen programmiert wurde. Der Aufwand für den Wurm sei gewaltig und teuer gewesen, zudem richte es nur in bestimmten Anlagen Schaden an, andere würden offenbar ohne Schaden lediglich infiziert. Als (unfreiwilliger) Verteiler käme vor allem die russische Atomstroiexport in Frage.

Infektionsereignisse

Erstmals wurde Stuxnet von Serjej Ulasen von der weißrussischen Firma VirusBlokAda identifiziert aufgrund eines Hinweises einer iranischen Vertragsfirma. Dort kam es an der Rechenanlage zu Systemabstürzen und anderen Störungen. Stuxnet nimmt einen Speicherplatz von etwas mehr als einem Megabyte ein. Bei einer Analyse der Dateien von Stuxnet stieß man auf eine temporäre Datei ~wtr4141.tmp, die als Zeitmarke das Datum vom 3. Februar 2009 hatte. Dieses Datum könnte auf eine erste Version von Stuxnet hinweisen.

Im Jahr 2009 bis Anfang 2010 infizierte Stuxnet die autorun.inf Dateien, die im Betriebssystem Windows auch als EXE-Dateien ausgeführt werden können. Im Zusammenhang mit weiteren besonderen Einstellungen der AutoRun-Optionen sollte dadurch die Möglichkeit der Infizierung von Windows-Systemen erweitert werden. Ab März 2010 nutzte Stuxnet dann die Schwachstelle der LNK-Dateien, um über USB-Sticks Windowssysteme zu infizieren.

Stuxnet soll auch die Möglichkeit einer wiederholten Selbstinfektion besitzen. Zu diesem Zweck befällt Stuxnet die Entwicklungsumgebung für speicherprogrammierbare Steuerungen Step 7 und legt dabei neue DLLs an, die teilweise verschlüsselt sind. Durch Suchvorgänge beim Laden von Systembibliotheken wird dann eine der modifizierten DLLs geladen, entschlüsselt und dies bewirkt das Laden der ursprünglichen Dateien von Stuxnet. Damit ereignet sich eine neue Infektion, die auch ein vorheriges Löschen der Dateien von Stuxnet wieder kompensiert. Nach Untersuchungen von Liam O Murchu sendet Stuxnet an Server Nachrichten, die ihren Sitz in Dänemark und Malaysia haben.

Im September 2010 erklärte der iranische Kommunikationsminister Resa Taghipur, dass im Iran rund 30.000 Computer von Stuxnet befallen seien, darunter auch Rechner des Kernkraftwerks Buschehr. Einer Untersuchung der IT-Sicherheitsfirma Symantec zufolge stehen knapp 60 Prozent der infizierten Rechner in Iran, knapp 20 Prozent in Indonesien, gut acht Prozent in Indien.

Auch in China hat sich der Wurm laut der staatlichen Nachrichtenagentur Xinhua ausgebreitet, insgesamt sollen sechs Millionen Rechner und etwa 1000 Unternehmensrechner betroffen sein.

Zum Infektionsprozess wurden zwei tiefschürfende Analysen veröffentlicht. Symantec gab Anfang Oktober 2010 eine Analyse heraus, die detailliert die Prozesse untersuchte, die von den manipulierten DLLs ausgingen. Trend Micro hat eine Analyse von Stuxnet veröffentlicht, die sich besonders mit der Manipulation der Dateien, der Nutzung der Windows-Exploits und der Verbreitung von Stuxnet befasst.

Mit der Sicherheitsaktualisierung von Microsoft für Windows vom 12. Oktober 2010 wurden drei von vier von Stuxnet benutzten Sicherheitslücken geschlossen.

Inzwischen hat der Antivirenspezialist BitDefender ein kostenloses Bereinigungswerkzeug zur Erkennung und Entfernung von Stuxnet-Infektionen bereitgestellt.

Spekulationen über den Urheber und das Ziel von Stuxnet

Laut Wieland Simon (Siemens) müssen an der Entwicklung des Virus Experten und Ingenieure aus ganz unterschiedlichen Bereichen beteiligt gewesen sein – neben Windows-Programmierern auch Fachleute der Automatisierungstechnik und von großen Industrieanlagen. Nur ein solches Team wäre in der Lage einen Schädling zu programmieren, der nacheinander mehrere technisch sehr unterschiedliche Hürden überwindet.

Aufgrund des großen Programmieraufwandes wird von Jewgeni Kasperski und anderen Fachleuten angenommen, dass der Wurm nicht von Privatpersonen, sondern vermutlich von einer staatlichen Organisation stammt. Auch die hohen Entwicklungskosten für den Wurm, die auf einen 7-stelligen Dollar-Betrag geschätzt werden, sprächen dafür.

Mehrere Teams von Experten fanden im Viruscode Textbausteine, die nahe legen, dass die Angreifer ihr Projekt Myrtus nannten. Der deutsche IT-Sicherheitsspezialist Langner wies als erster auf die mögliche Anspielung auf den ursprünglichen hebräische Namen der Bibelfigur Esther hin. Carol Newsom, Professorin für Altes Testament an der Emory University bestätigte den linguistischen Zusammenhang der hebräischen Wörtern für Myrtus und Esther (Hadassah). Das Buch Esther im alten Testament (hebräische Bibel) erzählt die Geschichte eines geplanten Anschlags der Perser auf die Juden, die Letztere durch einen Erstschlag verhindern konnten.

In den Medien wurde diese Spekulation als Hinweis auf eine mögliche Urheberschaft Israels gewertet. Laut Süddeutsche Zeitung halten die meisten Fachleute diese These allerdings für eine Verschwörungstheorie. Es könnte auch eine falsch ausgelegte Fährte sein. Shai Blitzblau, technischer Direktor und Chef von Maglan, eine israelische IT-Sicherheitsfirma im Militärbereich, ist überzeugt, dass Israel nichts mit Stuxnet zu tun hat. Er vermutet Wirtschaftsspionage gegen Siemens oder eine Art "akademisches Experiment”.

Yossi Melman, Journalist der israelischen Tageszeitung Haaretz, hält Israel für den wahrscheinlichen Urheber. Er führt an, dass der Vertrag des Direktors des israelischen Auslandsgeheimdienstes, Meir Dagan, letztes Jahr verlängert wurde, da er in wichtige Projekte involviert sei. Zudem hätte Israel den geschätzten Zeitpunkt, bis Iran eine Atombombe besitzt, überraschend auf das Jahr 2014 nach hinten verschoben.

Laut einem Artikel der New York Times vom 30. September 2010, behauptet ein ehemaliges Mitglied der United States Intelligence Community, dass der israelische Nachrichtendienst Unit 8200, der mit der NSA vergleichbar ist, den Angriff mit Stuxnet ausgeführt habe.

Medienberichten zufolge war möglicherweise die iranische Urananreicherungsanlage in Natanz das Ziel der Attacke. Laut geheimen Dokumenten, die über die Internetplattform WikiLeaks an die Öffentlichkeit gebracht wurden, gab es in Natanz im Jahr 2009 einen nuklearen Störfall, der die Produktionskapazität der Anlage um 15 Prozent reduzierte. Es wird angenommen, dass die Zentrifugen der Anlage durch WinCC-Systeme gesteuert werden.

Es gibt letztendlich nur vage Hinweise auf das Ziel von Stuxnet. Der Kryptograph Bruce Schneier geht davon aus, dass das wirkliche Ziel von Stuxnet für immer unbekannt bleiben wird.