Vor Weihnachten kam es zu Stromausfällen in der ukrainischen Region Iwano-Frankiwsk. Inzwischen verdichten sich die Hinweise, dass der Blackout mit einem Phishing-Angriff in Verbindung steht.

Mehrere Sicherheitsexperten gehen davon aus, dass die zunächst von ukrainischen und russischen Online-Medien gemeldeten Stromausfälle in der westukrainischen Region Iwano-Frankiwsk zumindest zum Teil durch einen Hacker-Angriff ausgelöst wurden. Blackouts, die durch Schadsoftware absichtlich verursacht werden, sind äußerst selten. Trotz zahlreicher einschlägiger Warnungen bleiben solche Vorkomnisse bisher oft Spekulation. Die meisten Beeinträchtigungen des Stromnetzes durch Schädlinge sind Randerscheinungen von Infektionen in Verwaltungsnetzen.
Makro-Trojaner namens Black Energy

Laut Forbes hat Eugene Bryksin vom Computer Emergency Response Team der Ukraine (CERT-UA) bestätigt, dass der Blackout mit einem Hacker-Angriff in Verbindung stehe. Meldungen, dass unter anderem die ursprünglich vor allem mit DDoS-Angriffen und Spionage verknüpfte Malware Black Energy eingesetzt worden sei, sollen ebenfalls zutreffen. Man führe derzeit eine Untersuchung beim Stromversorger Prykarpattyaoblenergo durch, der offenbar hauptsächlich betroffen war. Details zu dem Angriff könne er aber noch nicht bekannt geben.

Die slovakische Sicherheitsfirma Eset berichtet, dass Mitarbeiter ukrainischer Energielieferanten ihre Rechner zunächst über eine Phishing-Attacke mit Black Energy infiziert haben sollen. Sie hätten Microsoft-Office-Dateien geöffnet, die Makros mit Schadroutinen enthielten und ausführten. Makro-Malware dieser Art ist momentan wieder stark im Kommen.

Die jüngst entdeckten Beispiele für den Black-Energy-Trojaner sollen laut Eset eine zerstörerische Komponente enthalten haben, die Daten auf betroffenen Systemen überschreibt. Bei Varianten, die nach Angaben von CERT-UA im November während der ukrainischen Wahlen gegen Medienfirmen in Stellung gebracht wurden, habe dieser Bestandteil gezielt nach Dateien und Dokumenten mit einer langen Liste von über 4000 Erweiterungen gesucht und von der Festplatte gelöscht. Gegen Energieunternehmen in der Ukraine ist Eset zufolge eine angepasste Version verwendet worden, die gezielt Systeme unbootbar machen kann, um so Industrieanlagen zu sabotieren. Außerdem hat sie die Möglichkeit, Hintertüren zu den Rechnern zu installieren.
Das Sans Institute ist skeptisch

Vorsichtiger drücken sich Sicherheitsforscher aus, die das auf industrielle Kontrollanlagen ausgerichtete Team des US-amerikanischen Sans Institute um Stellungnahme gebeten hat. Auch dieser Einrichtung liegt nach eigenen Angaben ein Muster der in der Ukraine eingesetzten Schadsoftware vor. Dabei handle es sich um eine ausführbare 32-Bit-Windows-Datei, die ein Modul einer komplexeren Malware darstelle und weitere, nicht genau bekannte Komponenten nachlade. Es sei aber zu früh, das Schadsoftware-Bauteil direkt mit Black Energy in Verbindung zu bringen, auch wenn einige Hinweise dafür sprächen.

Sollte sich eine Beziehung zwischen beiden Modulen als tragfähig erweisen, heißt es bei den Sans-Experten, würde dies die These untermauern, dass der oder die Energieversorger und deren Industrieanlagen gezielt angegriffen worden seien. Über die Absichten und die Herkunft der Angreifer ließen sich aus den verfügbaren rein technischen Daten aber so gut wie nie Rückschlüsse ziehen.