Duits industriebedrijf ThyssenKrupp was doelwit van hackers

Het Duitse industriebedrijf ThyssenKrupp heeft bekendgemaakt dat het tussen februari en april doelwit was van een aanval door professionele hackers. Deze werkten volgens het bedrijf vanuit Zuidoost-Azië en zouden uit zijn op intern onderzoek en technische kennis.

ThyssenKrupp bevestigt tegenover de Duitse krant Wirtschaftswoche dat de hackers het hadden gemunt op verschillende onderdelen van het bedrijf. Zo richtten zij zich op de 'Industrial Solutions'-tak met vestigingen in onder andere Europa, de VS en India en op de staaldivisie van ThyssenKrupp in het Duitse Hagen. De hackers wilden zich op langere termijn in het netwerk van de industriegigant 'inbedden', aldus de woordvoerder.

Zij gebruikten verschillende backdoors om toegang tot de systemen van ThyssenKrupp te behouden en informatie te stelen. Het staat vast dat informatie gestolen is, maar het bedrijf zegt niets over de aard van de gegevens. De hackers zouden niet in staat zijn geweest om kritieke systemen binnen te dringen of gegevens over de bouw van onderzeeërs te bemachtigen van de Marine Systems-tak. Het is onduidelijk waarom het bedrijf nu met de informatie naar buiten komt. Het industriebedrijf heeft aangifte gedaan en de getroffen systemen opgeschoond, nadat de aanval door het eigen Cert van 18 medewerkers was opgemerkt.

Dit gebeurde doordat 'verschillende mislukte inlogpogingen op een server hadden plaatsgevonden', zo meldt Der Spiegel. Het bedrijf gaat ervan uit dat de aanvallers uit Zuidoost-Azië afkomstig zijn vanwege de tijdstippen waarop zij actief waren. De aanvallers zouden hun activiteiten hebben uitgevoerd met 'ondersteuning van een staat' en 'beschikken over de meest geavanceerde aanvalstechnieken'.

In juni bleek dat Chinese hackers het Nederlands-Duitse bedrijf Rheinmetall Defence in 2012 hadden gehackt om bedrijfsgeheimen te stelen.

Reacties (9)

Het enige feit over het hacken wat gegeven is:

" 'verschillende mislukte inlogpogingen op een server hadden plaatsgevonden"

Ik krijg bij dit soort artikelen altijd het gevoel dat het opgeblazen wordt en het veelal bangmakerij is. Dit had ook iemand kunnen zijn die via https://www.shodan.io/ de ip adressen had gevonden en voor "de gein" een paar inlogpogingen heeft geprobeerd of er een bruteforce script op los heeft gelaten.

Ik snap natuurlijk dat een bedrijf zo min mogelijk vrij wilt geven, maar ik zou benieuwd zijn hoe en wat er is geprobeerd met wat minder aannames en meer feiten.

Ik krijg bij dit soort artikelen altijd het gevoel dat het opgeblazen wordt en het veelal bangmakerij is. Dit had ook iemand kunnen zijn die via https://www.shodan.io/ de ip adressen had gevonden en voor "de gein" een paar inlogpogingen heeft geprobeerd of er een bruteforce script op los heeft gelaten.

Ik snap natuurlijk dat een bedrijf zo min mogelijk vrij wilt geven, maar ik zou benieuwd zijn hoe en wat er is geprobeerd met wat minder aannames en meer feiten.

Het lijkt me stug dat zo'n groot bedrijf niet bestand is tegen bruteforces. Als je inlogpogingen wilt gaan doen, moet je natuurlijk wel in de goede richting zoeken qua wachtwoorden.

klopt, als het een "Staatshack" oid zou zijn dan zou ik verwachten dat ze anders te werk gaan dan "mislukte inlogpogingen op een server". Die zullen wel geavanceerdere technieken gebruiken, maar in het artikel wordt alleen gepraat over deze mislukte inlogpogingen. De rest zijn eigenlijk aannames of dingen die hadden kunnen gebeuren.

Ik denk dat je "mislukte inlogpogingen op een server" hier niet moet zien als rechtstreeks van buitenaf. Ik neem aan dat er daarvan een heleboel zijn (van scriptkiddies tot minder succesvolle hackers), en dat die an sich geen reden tot zorg zijn. Echter, als je binnen in je netwerk dergelijke pogingen ziet die afkomstig zijn van een andere server binnen je netwerk die ook te vertrouwen zou moeten zijn, dan is dat wél reden voor alarmbellen. En dan kan het best zo zijn dat blijkt dat er "geavanceerde" technieken/hacks zijn gebruikt om al tot dat niveau binnen te komen. Dat er ondanks die technische "kunde" vervolgens alsnog "simpele" foute logins zijn gedetecteerd, zegt weinig. "Foute logins" kan heel veel ladingen dekken of gebruikt zijn ter versimpeling richting de (niet-IT) buitenwereld, en misschien dachtrn de hackers op dat moment al ver genoeg binnen te zijn, of was het arsenaal aan hacks/trucks simpelweg niet verder toereikend.

"Zij gebruikten verschillende backdoors om toegang tot de systemen van Thyssenkrupp te behouden en informatie te stelen. Het staat vast dat informatie gestolen is, maar het bedrijf zegt niets over de aard van de gegevens."

Volgens mij sla je iets over...

Heb dit stukje gemist inderdaad,

Maartoch, dan spreekt het bericht van Sun dat tegen

Het enige feit over het hacken wat gegeven is:

" 'verschillende mislukte inlogpogingen op een server hadden plaatsgevonden"

Dit was hetgeen wat opgevallen was.
Wat ik vermoed is dat dit een interne server was die geen directe toegang van buitenaf zou moeten hebben. Bij een externe machine verwacht je allerlei loze foute inlogpogingen, maar juist een interne machine zou er 0 moeten krijgen. Hooguit een user die zijn password een keer fout invoert.

Maar het blijft natuurlijk een nieuwsitem, geen technische uiteenzetting hoe ze gefaald hebben.

Misschien een fake server open zetten meteen hoop nep informatie. gekopieerde onderzeers die zinken, springende liften

Binnenkort gaan een hoop liften crashen, mark my words