IoT: Siemens Simatic-IoT2050-Gateways angegriffen

Geräte der Siemens-Simatic-IoT2050-Advanced-Baureihe werden im Internet attackiert. Eine Schwachstelle gibt Angreifern weitreichende Zugriffsrechte. Diese installieren ein Botnet auf anfälligen Geräten.

Das berichtet das IT-Sicherheitsunternehmen VulnCheck. Demnach hat eines der Systeme des Unternehmens am vergangenen Freitag einen Angriffsversuch auf die Schwachstelle CVE-2026-58115 (CVSS 10.0, Risiko „kritisch“) protokolliert. Es handelt sich dabei um eine im August gemeldete und mit Update gestopfte Sicherheitslücke in Simatic-IoT2050-Advanced-Geräten vor Version 4.3.4.1, auf denen Node-RED installiert ist – ein Node.js-basiertes Werkzeug für flussbasierte Programmierung. Auf das Webinterface von Node-RED ließ sich dort ohne Authentifizierung zugreifen. Angreifer können also ohne vorherige Anmeldung Knoten darüber programmieren und Systembefehle auf dem Server ausführen – und zwar beliebigen Schadcode mit höchsten Rechten.

Siemens hat mit einer eigenen Sicherheitsmitteilung reagiert und die Version 4.3.4.1 (oder neuer) der Firmware bereitgestellt, die das Problem löst. IT-Verantwortliche müssen sie jedoch selbst installieren. Alternativ können Admins Node-RED deinstallieren oder die Node-RED-Installation härten, führt das Dokument als mögliche Gegenmaßnahme aus.

Angreifer scannen das Netz

Bis Sonntag zählte VulnCheck bereits 16 Angriffe von derselben IP-Adresse auf die Lücke, mit unterschiedlichem Schadcode. Die IT-Forscher haben von der Angreifer-IP zudem weitere Missbrauchsversuche gegen sieben weitere Schwachstellen in anderer Software entdeckt. Bei den Anfragen zum Missbrauch der Node-RED-Lücke handelte es sich um vollständige Exploits. Sie haben einen Node-RED-Flow eingerichtet, automatisch ausgelöst und Binärdateien von Servern der oder des Angreifers heruntergeladen. Der Code war über drei Ebenen verschleiert. Was die Botnet-Malware genau anstellt, hat VulnCheck nicht untersucht. Die Analyse listet aber noch Indicators of Compromise auf. Die Angriffe kamen von einer IP-Adresse aus dem Netz von Microsoft, die sich in Brasilien verorten lässt.

IT-Verantwortliche sollten prüfen, ob sie IoT-Hardware an Netzwerkgrenzen betreiben oder diese aus dem Internet erreichbar ist, da Angreifer auch Schwachstellen in diesen Geräten suchen und missbrauchen. Aktualisierungen oder temporäre Gegenmaßnahmen sollten sie zudem zügig anwenden.

(dmk)