TIA Interessante Masterarbeit "Schadsoftware für vernetzte speicherprogrammierbare Steuer

[DeltaMikeAir]

Zuviel Werbung?
-> Hier kostenlos registrieren

Masterarbeit "Schadsoftware für vernetzte speicherprogrammierbare Steuerungen"

Für alle Interessierten:

Masterarbeit "Schadsoftware für vernetzte speicherprogrammierbare Steuerungen"

Anhang anzeigen MA_Maik_Brueggemann.pdf

 

[Ph3niX]

Für mich nicht möglich zu öffnen? :?:

 

[DeltaMikeAir]

Zuviel Werbung?
-> Hier kostenlos registrieren

Schau mal jetzt

 

[Blockmove]

Gerade mal überflogen ... Respekt!

 

[Kemo_Delight]

Kriegt ihr das über Tapatalk pro auf?

ich iwie nicht :-/


Gesendet von iPhone mit Tapatalk Pro

 

[Chräshe]

Zuviel Werbung?
-> Hier kostenlos registrieren

Auch wenn es für die allermeisten Leser hier, eine sehr große Herausforderung wäre, solch einen Wurm zu schreiben, überrascht mich das Fazit nicht wirklich.

FAZIT
Für die Implementierung des Wurms wurde keine Schwachstelle ausgenutzt. Die S7-1200 ist
in ihrem Auslieferungszustand anfällig für SPS-Würmer. Die IT-Sicherheit dieser Geräte muss
verbessert werden, damit die von der Wirtschaft und Politik gewünschte Industrie 4.0 realisiert
werden kann.

Die wilde Vernetzung, ohne konsequentes Sicherheits-Konzept kann ganz schnell nach hinten los gehen. Vielleicht etabliert sich mal wieder ein Schlüssel-Schalter an der CPU?

 

[Peter Gedöns]

Das ist doch ein alter Hut wurde beim 32C3 gezeigt.

https://www.youtube.com/watch?v=LaJ9h51mW7M

und mal eben so die PLC in Stop Schalten (fällt gar nicht auf ), funzt auch nur wenn die Kiste in ProgRun läuft.

 

[Thomas_v2.1]

Und die Idee dazu kam hier im Forum schon 2015 auf:
https://www.sps-forum.de/simatic/78...lc-wird-zum-einbruchswerkzeug.html#post546141

Mit einer aktuellen 1200er mit Firmware 4.0 ist das was er da gemacht hat auch nicht mehr ganz so einfach, aber nicht unmöglich.
Interessant ist allerdings, dass man Code vor dem TIA Portal verstecken kann. Das ist der Nachteil wenn Daten mehrfach in verschiedenen Formaten auf der Steuerung abgelegt werden. Ich vermute sogar, es lässt sich der Code auf der Steuerung manipulieren, und ein Bausteinvergleich im TIA Portal zeigt diesen Unterschied überhaupt nicht an, weil kein echter Codevergleich wie noch bei den 300/400ern durchgeführt wird.

 

[DeltaMikeAir]

Zuviel Werbung?
-> Hier kostenlos registrieren

Das ist doch ein alter Hut wurde beim 32C3 gezeigt.

Das stimmt, aber noch aktuell. Ich denke interessant für uns ist vor allem, mit welchen Problemen in Zukunft zu rechnen sind
( unabhängig von Siemens, die Problematik betrifft viele Hersteller ).

Immerhin wurde in das Projekt nicht enorm viel Arbeitskraft reingesteckt. Somit kann man sich ausrechnen was möglich wäre,
wenn so ein Thema mal ála Stuxnet von einem Staat aus eingeleitet wird.

und mal eben so die PLC in Stop Schalten (fällt gar nicht auf ), funzt auch nur wenn die Kiste in ProgRun läuft.

Nun die meißten laufen ja in ProgRun, außer jemand hat dies aktiv geändert. Und was denkt der Maschinenbediener / Instandhalter,
wenn die SPS ein paar Sekunden auf Stop war? Sicherlich nicht, dass seine SPS nun infiziert ist.

Aber wie gesagt, ich möchte damit keinen Hersteller angehen sondern einfach mal zum nachdenken / diskutieren anregen.

 

[scrfc71]

kurz überflogen;

Sehr interessantes Thema, welches von vielen Unternehmen (noch) nicht ernst genommen wird.

Viel Erfolg!

 

[Real Madrid]

Einfach Respekt

 

[flyingsee]

Zuviel Werbung?
-> Hier kostenlos registrieren

Ich war auch auf dem C3 und hab es gesehen. Wurde nicht gesagt das ist mittlereile gefixt.

Und wollten die sich nicht mal die 1500er genauer anschauen?

 

[Thomas_v2.1]

Ich war auch auf dem C3 und hab es gesehen. Wurde nicht gesagt das ist mittlereile gefixt.

Was möchtest du denn fixen?

Wenn du ein CPU Passwort setzt ist die ganze Aktion hinfällig, denn dann kommt keiner ohne Passwort auf die CPU.

Da wurde nicht einmal verstanden wie das Ganze funktioniert, sondern einfach nur Bytestreams von einer Programmübertragung mit dem PG abgegriffen, und diese von der SPS aus versendet.
An einigen Stellen müssen einzelne Werte angepasst werden, aber das ist nicht einmal korrekt erfasst worden (Masterarbeit S. 33, das war schon in seiner BA falsch). Wenn er direkt ein Kapitel darüber auf der gleichen Seite die Zahlencodierung erwähnt, kann man schon riechen dass da nicht + 0x80 gerechnet wird, sondern dass es die gleiche Zahl ist die nur unterschiedlich codiert übertragen wird.

Bei der 1500er und der 1200er ab FW 4 ist das Ganze dann auch nicht mehr ganz so einfach. Zumindest benötigt so eine Funktion erheblich mehr Codespeicher und die Laufzeit wenn bestimmte Berechnungen nicht elegant auf mehrere Zyklen verteilt werden, dürfte nicht unerheblich ansteigen.