Nieuwe Russische malware is mogelijk bedoeld voor aanval op elektriciteitsnetten

Onderzoekers van cybersecuritybedrijf Mandiant hebben een malware ontdekt, CosmicEnergy genaamd, die mogelijk bedoeld is om elektriciteitsnetten en andere kritieke infrastructuren mee te verstoren. De onderzoekers linken de malware aan de Russische Federale Veiligheidsdienst.

Volgens het onderzoek kan de malware worden gericht aan remote terminal units die voldoen aan de IEC-104-standaard. Die worden vaak gebruikt voor de elektriciteitsvoorziening in Europa, het Midden-Oosten en Azië, schrijft Mandiant. De malware kan OT-systemen infiltreren door reeds gehackte mssql-servers uit te buiten. Vervolgens kan CosmicEnergy de rtu's van afstand manipuleren door commando's te geven via de Lightwork-tool, die werkt op het IEC-104-protocol.

Waar de malware precies voor bedoeld is, durft Mandiant niet met zekerheid te zeggen. Wel schrijft het bedrijf dat het op basis van zijn analyse verwacht dat CosmicEnergy is ontwikkeld door de Russische Federale Veiligheidsdienst 'om echte aanvalsscenario's tegen activa van het elektriciteitsnet na te bootsen'. Oftewel, het is mogelijk bedoeld om 'oefenaanvallen' mee uit te voeren, zodat Rusland erachter kan komen in hoeverre de getroffen systemen en netwerken goed beveiligd zijn.

Mandiant ontdekte de malware in december 2021 voor het eerst nadat er een sample werd geüpload naar het VirusTotal-malwareanalyseplatform door een gebruiker met een Russisch IP-adres. Daaruit bleek dat de malware veel gelijkenissen vertoont met de Industroyer-malwarefamilies, die worden gelinkt aan de Sandworm-hackersgroep die gelieerd is aan het Kremlin. Met die malware zijn in het verleden al meermaals cyberaanvallen uitgevoerd. Vorig jaar werd die nog gebruikt om het elektriciteitsnet van Oekraïne aan te vallen. Mandiant zegt overigens niet genoeg bewijs te hebben om er zeker van te zijn dat de CosmicEnergy-malware door dezelfde groep is ontwikkeld.

CosmicEnergy is in tegenstelling tot Industroyer nog niet gebruikt voor een cyberaanval. Mandiant waarschuwt wel dat de malware een 'plausibele dreiging' vormt voor elektriciteitsnetten. De cybersecuritygroep raadt OT-beheerders die gebruikmaken van een apparaat dat compatibel is met IEC-104 aan om actie te ondernemen voor het geval dat de malware in de toekomst wel ingezet wordt.

Reacties (71)

Waar ik me zorgen over maak in dit licht zijn alle omvormers van zonnepanelen die via de cloud hun informatie beschikbaar stellen aan de eigenaren. Als die omvormers gehackt worden en een paar keer aan/uit geschakeld worden op een zonnige dag dan gaat er volgens mij ook van alles mis op het stroomnet. En zoiets zou landelijke gevolgen kunnen hebben…

Het lijkt mij dat de omvormers data naar de cloud pushen dus zo gigantisch groot is die aanvalsvector niet. Ander verhaal wordt het als omvormers data van de cloud binnen hengelen, zoals updates.

Als ik hier in de buurt kijk: alle omvormers staan een 2.4ghz WiFi met open ssid uit te zenden, zonder beveiliging.
En dan heb ik het over meer dan 50 omvormers. Allemaal zeversolar. Chinees dus.

Je kunt zo de configuratie aanpassen naar onveilige waarden.

Maar dat is natuurlijk niet hetzelfde. Hackers komen natuurlijk niet massaal door de wijken rijden om via onbeveiligde WiFi netwerken omvormers aan te passen. Als je op grote schaal iets voor elkaar wil krijgen ben je er niet met 100 omvormers en tevens moet dat allemaal geautomatiseerd, in bulk en op afstand.

Tenzij je natuurlijk het hacken van de omvormers volautomatisch in bulk plaats kan laten vinden vanuit speciaal geprepareerde auto's die je door woonwijken heen laat rijden. De Russen probeerden immers ook de OPCW-hack vanaf de parkeerplaats.

Niet massaal, maar je kunt als staatshacker ook rustig de tijd nemen en een paar jaar door een land touren. Niet zo handig als een geautomatiseerd proces op afstand, maar het ligt er maar aan hoeveel haast je hebt.

Elke ethische hacker zou dus de zonnepanelen in zijn omgeving die zo slecht beveiligd zijn domweg uit moeten schakelen. Dat kost de eigenaar geld, dus zal hij iets doen.
Als dat op enige schaal gebeurt wordt het nieuws en zal vrijwel iedereen zijn installatie (beter) beveiligen.

Zelfs als ze pushen kun je een slechte client exploiteren. Vb. door ipv 200 OK terug te zenden zend je "200 OKOKOK (x 256) reverse_ssh_tunnel.sh" dan is het mogelijk dat je ergens een overflow kan triggeren. Dat is meestal hoe de open source community binnen Linux-systemen op IoT devices kan, gewoon een buffer overflow triggeren in de 'normale' diensten die al 10 jaar geleden gebouwd zijn.

Veel van die systemen kijken echt niet naar de DNS noch SSL certificaten (want zulke dingen onderhouden wordt vele malen duurder.

En als China en Rusland de handen in elkaar slaan net voor een grote aanval op "het westen" (vb. Finland + Taiwan + Z. Korea tegelijk aanvallen) hebben ze in principe al een heel C&C systeem op aanvraag, alle cameraatjes, vriezers en andere IoT zijn al onder controle van Chinese bedrijven die meestal ook deels eigendom zijn van de Chinese overheid.

[Reactie gewijzigd door Guru Evi op 26 mei 2023 22:41]

Uhm. Zo werkt het niet hoor. Of bedoel je een MITM aanval waar je de response aanpast? Want een client stuurt een Request en niet een "200 ok" Response.

Verder worden exploits aan de lopende band gepatched.

Is lees het dan ook anders. Als je heel veel spanningsbronnen (de zonnepanelen) snel na elkaar uit en aan zet kan dat misschien een deel van het stroomnet uitschakelen.

Als je veel zonnepanelen tegelijk kunt uitschakelen zal er snel op andere bronnen bijgeschakeld worden om de tekorten op te vangen. Als die zonnepanelen dan weer tegelijk worden ingeschakeld wordt het elektriciteitsnet ontwricht.

Wat je beschrijft is als scenario best aardg uitgewerkt in het boek ‘Black-out’ van Mark Elsberg, dat zowaar deels in Den Haag speelt. Leuk voor in de vakantie!

Het is een gevalletje Business Continuity Management: de kans dat het gebeurt is minimaal (want heel veel maatregelen genomen om het te voorkomen), maar als het gebeurt, ben je wel de Sjaak.

Blij dat mijn zonnepanelen zo oud zijn dat ze nog geen eigen WiFi netwerk hebben, maar hun info verzenden en ontvangen over de UTP kabel. Scheelt in ieder geval een paar mogelijke aanvalsmogelijkheden

Er zijn genoeg omvormers die ook OTA kunnen worden geupdated (en sommigen controleren regelmatig of er firmware updates beschikbaar zijn en installeren die automatisch).

Ik denk dat de lijst van updates uit China vrij kort/nihil is. Misschien Europese merken dat dit beter geregeld is

Of wanneer de aanvaller de Chinese overheid is: dan hebben ze niet eens een exploit nodig: Dan komt het Ministerie voor Openbare Veiligheid gewoon even binnengewalst met het verzoek om een speciaal geprepareerde firmware naar alle omvormers in landen X, Y en Z te pushen.

en jij hebt een omvormer die je kan inschakelen zonder fysiek iets te doen?

Voor zover ik weet is mijn solaredge omvormer remote geactiveerd door de leverancier. Ik neem aan dat het omgekeerde dan ook kan. Ik heb nadat alles werkte de netwerkkabel ontkoppeld zodat men er niet meer bij kan.

Een solaredge hoeft niet geactiveerd te worden. Die doet het gewoon als je hem lokaal aanzet en configureerd met de juiste waarden.

Er is mij geen API call in de SunSpec standaard bekend waarmee je de omvormer remote uit en aan kan zetten. Ik zocht er laatst nog naar, omdat in m’n omvormer via Home Assistant wilde kunnen uitzetten bij negatieve stroom prijzen.

Ik vermoed dat de netparameters remote worden ingesteld, toch?
Als ie zo wordt ingesteld dat 200 volt al "overspanning" is dan gaat ie echt wel uit.

Nope, doe je gewoon met de installer app. En 200 volt instellen als overspanning kan niet, dat soort waardes zijn hard geconfigureerd per land wat je instelt. Je kunt een heel klein beetje frauderen door een ander land te kiezen en zo een iets hogere overspanning te krijgen en nét iets later dan je buren af te vallen bij overspanning maar daar blijft het bij.

Okee, ik dacht gelezen te hebben dat de omvormers die landprofielen kunnen updaten. Maar goed, dat doen ze ook niet heel regelmatig, vermoed ik. Als in de loop van 1 dag alle omvormers in een land uitschakelen is dat vervelend, maar het geeft geen acute netuitval.

Via 'modbus' kan de solaredge lokaal uitgelezen worden. ook als geen verbinding met de leverancierscloud is.

Het European Network for Cyber security (ENCS) heeft hier ook onderzoek naar gedaan:

https://encs.eu/resource/...rotect-der-systems-draft/

Vraag me af waarom alles aan de cloud moet hangen tegenwoordig?

Hier waarschuwt maffiaboy al jaren voor.
https://www.blackhatethic...o-took-down-the-internet/

Ik heb is navraag gedaan bij de woningbouw en die verwees mij weer door naar de leverancier.
Ze hangen in mijn huis maar ik kan alleen via een slechte web interface mijn gebruik inzien.


Reactie Woningbouw

Solarminds geeft aan dat er geen updates worden doorgevoerd aan de omvormers. Als er een monteur op locatie aanwezig is willen ze dit nog wel eens doen als dit ten goede komt aan de storing die er dan speelt.

Reactie Solarminds

Alle omvormers zijn voorzien van een eigen 4G verbinding zodat Solarminds deze op afstand kan monitoren, wellicht was ik daarin niet duidelijk in mijn antwoord. Elke afwijking in de omvormer of panelen kunnen worden gecontroleerd.

Zoals ook aangegeven in mijn mail, het is niet de bedoeling dat bewoners zelf aan de slag gaan met omvormers, die gaat veel problemen veroorzaken. Uitonderingen worden hierin niet gemaakt.

Wellicht een onbevredigd antwoord voor u als IT-er maar zo houden wij (Solarminds) het systeem onder controle. U mag er ook van uitgaan, als Solaredge (leverancier omvormers) een update heeft die noodzakelijk is voor de veiligheid, dat dit dan ook direct uitgerold wordt. Tot op heden is dit nog niet aan de orde geweest.

[Reactie gewijzigd door mrooie op 27 mei 2023 07:10]

Je kan je SolarEdge omvormer uitlezen via het SunSpec protocol. Bijvoorbeeld met https://github.com/dave92082/SolarEdge-Exporter om het in Prometheus te knallen.

Maar inderdaad, het maakt je nog geen ‘eigenaar’ van de installatie.

Indien modbus is geactiveerd op je SolarEdge-omvormer (is volgens mij standaard zo, maar pin me daar niet op vast), kun je in elk geval realtime waarden uitlezen zonder afhankelijk te zijn van de cloud. Deze waarden updaten zeer frequent (iedere seconde ofzo), en daar heb je dus veel meer aan dan de informatie die je via de cloud van SolarEdge krijgt. Bovendien heb je veel meer soorten gegevens tot je beschikking, zoals voltages, foutmeldingscodes, etc.

Hier had ik het geluk dat de installateur van onze omvormer/panelen de omvormer überhaupt niet had aangemeld bij SolarEdge. Ik heb toen gewoon zelf een installateursaccount geopend bij SolarEdge en mijn omvormer daar aan toegevoegd.

Ik kan bevestigen dat dit niet zo is, bij mij stond modbus uit bij een solaredge systeem geplaatst in 2021. Heb eerst gevraagd aan mijn installateur of hij modbus aan kon zetten maar hij begreep het niet. Toen zelf maar een installateurs account gemaakt, SetApp gedownload en ingelogd met installateurs account en toen kon ik alle opties in de omvormer aanpassen inclusief modbus support. Overigens ging de omvormer toen ook de firmware updaten via mijn telefoon.

Modbus over TCP moest ik handmatig aanzetten, staat niet default aan.

Wonderlijk dat de regelneefjes in Brussel zich wel zorgen maken over het maximale vermogen van stofzuigers maar niet over dergelijke risicofactoren in consumentenelectronica. (Voor zover een omvormer bij een particulier consumentenelectronica is.)

En toch: het electriciteitsnet van Oekraïne draait nog.

Uiteraard is de cuber dreiging vanuit Russische en China wezenlijk, en ik wil het ook niet weg wuiven… maar ben wel benieuwd: hoe realistisch zijn de doemscenario’s?

Ik denk best realistisch. Ze hebben het met Stuxnet (US + Israël) ook geprobeerd en daar hebben ze ook schade veroorzaakt aan Iraanse kerncentrales.

Verder komt er steeds meer geavanceerde malware. Dat zag je bijvoorbeeld bij het massaal afluisteren van journalisten en politici.

Wij krijgen er nog niet zoveel van mee, maar wel als meer doelen worden geraakt waarbij wij weer gebruik van maken. Dat je bijvoorbeeld als een ziekenhuis is geraakt door malware, waarbij ze soms ook uit RU komen.

Schade aan Iraanse uraniumverreikingscentrifuges, niet aan kerncentrales.

Edit: uraniumverrijkingscentrifuges is natuurlijk met een lange "ij". Spellingscontrole is ook niet meer wat het eens was

[Reactie gewijzigd door _Pussycat_ op 27 mei 2023 13:23]

Zo, leg die eens met scrabble.

In een uraniumverrijkingsinstallatie gebruiken ze in het magazijn natuurlijk een uraniumverreiker

Wat mensen vaak vergeten is dat Oekraïne al lang voor de huidige inval in oorlog is met Rusland, in ieder geval digitaal.
Ze hebben dus al jaren ervaring met digitaal aangevallen te worden en hun beveiliging daarop aan te passen.

Landen die daar minder mee te maken hebben gehad zullen misschien minder goed voorbereid zijn op een dergelijke aanval.

Verder betreft hoe realistisch een doemscenario is, kijk naar stuxnet. Toch wel vrij effectief geweest.

Dat hangt echt niet aan een publiek communicatie-netwerk. Zoiets moeten ze fysiek infiltreren om iets te controleren. Bij Stuxnet hadden ze toch ook een USB-stick naar binnen gesluisd via medewerkers?

[Reactie gewijzigd door blorf op 27 mei 2023 05:53]

Daar draaien ze denk ik niet op windows

Ik ga even de advocaat van de duivel spelen hier.

Lezen wij hier (en andere westerse tech media) ook over Amerikaanse of NAVO malware die gericht is op Rusland/China/etc?

Of bestaan die niet? (Oprechte vraag)

Die bestaat zeker wel.

https://en.wikipedia.org/wiki/Stuxnet

Lees het boek 'het is oorlog, maar niemand die het ziet' als je meer wilt weten.

Wie maakt de OS'en? Wie beheert root certificaten ? Wie maakt of certificeert hardware ?
De achterdeur staat verder open dan je zou willen weten ...

Is al aangetoond destijds met wat er vanuit de NSA naar buiten kwam dat er op diverse nieuw geleverd routers speciale software meedraaide van deze organisatie

Superboek! Aanrader voor alle Tweakers.

Of kijk de documentaire

Zero Days
https://www.imdb.com/title/tt5446858/

Super interessant en pretty mindblowing.

edit: worth mentioning - nieuws: Nederlander helpt belangrijk deel Stuxnet-puzzle op te lossen

[Reactie gewijzigd door Exoronic op 26 mei 2023 22:50]

Wat een onzin, tuurlijk lees je hier over hacks en malware door westerse landen. Er zijn zelfs bedrijven hier in EU erin gespecialiseerd. Amerikaanse spul heeft nog altijd backdoors.

Daarom is het voor EU belangrijk dat we investeren in eigen chips en fabrieken.

[Reactie gewijzigd door HollowGamer op 27 mei 2023 09:46]

De Eu is geen land.

Klopt, China is dat wel, en wat voor een!

Het land is mooi, de mensen zijn overwegend tof, maar het regime dat daar heerst is verwerpelijk helaas. Erg zonde want ik kwam er altijd met plezier, nu helaas niet meer veilig om te doen.

Ja china is echt tof. Veel beter dan Nederland. Echt overwegend verwerpelijke mensen daar.

Volgens mij is er nog nooit een "staats-backdoor" gedemonstreerd. Heb je ook niet nodig met een vinger in de hele communicatie-infrastructuur.

Met de juiste wetgeving is een regulier OTA-update kanaal al snel een staats-backdoor.

Kwestie van een netwerkbrug achter je uitgaande lijn hangen. Dan zie je alles voorbij komen. Het zou eenvoudig aantoonbaar zijn. "Hey, wat zijn dit voor bytes, en waar gaan die naar toe?"

Nah, tegenwoordig zijn apparaten zo ongelofelijk "chatty".
Als je een backdoor wilt bouwen begin dan met een heel chatty applicatie, dan door een tunnel heen, en vervolgens kan je daar best wat informatie aan toevoegen.
En oh ja, communicatie kan zo geniepig. Een DNS lookup die plots nieuwe info binnenkrijgt. Exfiltreren via timing, via DNS, whatever. Je vindt het alleen met code-analyse denk ik.

Fundamenteel probleem is dat je een client en een server nodig hebt voor een achterdeur die ook ergens voor bruikbaar is.
In openbare netwerken die publieke standaarden voorschrijven is geen enkele "geheime" verbinding te verbergen. Er zijn teveel partijen betrokken bij elke data-verbinding tussen a en b. Dat werkt alleen maar in theorie als je uit gaat van een complot waar hardware-fabrikanten, telecom-providers en OS-makers allemaal in zitten en iedereen strikt zijn mond houdt.

Verder als ik mag kiezen tussen China, Rusland of de US, dan inderdaad China of Rusland. Beide mooiere landen dan de EU en US.

Wat houdt je tegen om je daar te vestigen?

Natuurlijk bestaat die ook.
Maar dat is voor ons en onze energievoorziening niet relevant, dus hoor je er erg weinig van.

Voor de geïnteresseerden, even opgezocht wie Mandiant is. Helaas niet in het artikel vermeld. Mandiant is een Amerikaans cyberbeveiligingsbedrijf en een dochteronderneming van Google

We worden veel te afhankelijk van elektriciteit. Zo'n zonnestorm als in 1921 gaat ook veel problemen geven.

Tegenwoordig kunnen we de zonnestorm aan zien komen, als we dan tijdelijk het elektriciteits netwerk uitschakelen is er weinig aan de hand. Dan hebben we maar een paar dagen geen elektriciteit. Maar als ze ten koste van alles het toch electriciteit proberen te leveren gaan de transformatoren kapot en voordat die weer vernieuwd zijn zijn er maanden of jaren verder. Daar hebben ze helaas ervaring mee in o.a. Canada. Zie https://en.wikipedia.org/...agnetic_storm?wprov=sfla1

[Reactie gewijzigd door xippie op 26 mei 2023 23:05]

Het effect van een paar dagen geen stroom is zwaarder dan je denkt. Als de stroom uitvalt is er ook geen watervoorziening meer, op sommige plekken stroomt riolering over, het verkeer loopt vast, er is geen productie meer, geen geld uit de muur, pinnen kan niet meer, en er alarmen werken niet meer. De kans op rellen en plundering is niet gering.

Het is niet voor niets dat de belangstelling van vijanden om onze infra te verstoren nogal groot is. Dat is al jaren zo. Niet alleen van Rusland, maar ook van China.

Bij een destructieve aanval ben je inderdaad nog verder van huis. De crisisplannen daarvoor moeten klaarliggen.

Ook in landen die veel minder ontwikkeld zijn dan wij is een uitval van de elektriciteit een ramp.

De VS ontwikkelde destijds toch iets soortgelijk om Iraanse kernenergie plat te leggen? Daar heeft de hele wereld toen last van gehad.

“Dat mag” / “kan gebeuren” natuurlijk.

Het was een fabriek die platgelegd werd (die gebruikt werd om kernwapens te maken).
Dat is echt niet hetzelfde als het algemene elektriciteitsnet.

Het is wel weer een beetje terug de koude oorlog in de nieuwsberichten. We zijn bang voor een hack op ons electriciteitsnetwerk en daar gaat de dikgedrukte tekst ook over en als je dan verder leest staat er dat het waarschijnlijk is 'om echte aanvalsscenario's tegen activa van het elektriciteitsnet na te bootsen' op hun eigen infrastructuur.

[Reactie gewijzigd door Marzman op 27 mei 2023 08:59]

Zou voor de werkgelegenheid goed zijn om belangrijke nutsvoorzieningen van het net te halen. Gewoon weer een persoon op de stoel daar. Je ziet dat al die beveiligingen en je weet niet of ze werken veel duurder zijn dan die mensen die je aanneemt.
Worden miljoenen ingepompt en beveiliging en helpt het?

Zou het daar echt veiliger van worden?
Zolang alles goed gaat is het dood saai werk. Vooral kijken dat de metertjes staan zoals ze moeten staan en af en toe iets in- of uitschakelen. En héél af en toe een calamiteit die direct actie vereist. Voor iemand met genoeg kennis en ervaring om alles zonder problemen af te kunnen handelen is dat vaak te saai om het lang vol te kunnen houden. De mensen die je voor dat soort werk kan vinden en die het vol kunnen houden, zijn mensen als bewakers, die de concentratie op kunnen brengen om langdurig dingen in de gaten te houden die niet veranderen, maar weinig kennis hebben van de systemen, om bij problemen in te kunnen grijpen. Het zijn twee verschillende types mensen, andere persoonlijkheden.
Zolang alles goed gaat is alles decentraal veiliger, omdat het niet vanaf afstand beïnvloed kan worden. Zodra er iets niet goed gaat, is centraal kunnen ingrijpen veiliger, omdat het tegenwoordig niet meer lukt om op alle locaties 24/7 capabele operators te plaatsen die er tegen kunnen dat het werk 99% van de tijd dood saai is.

Een russisch IP adres heeft het geupload... Euh ff computer in rusland huren en vanaf daar uploaden? Slaat toch nergens op...

@Kevinkrikhaar als de malware in december 2021 voor het eerst werd ontdekt, waarom spreekt dit artikel in mei 2023 (bijna 1,5 jaar later) van 'Nieuwe .. malware'?