IoT: Siemens Simatic-IoT2050-Gateways angegriffen

Geräte der Siemens-Simatic-IoT2050-Advanced-Baureihe werden im Internet attackiert. Eine Schwachstelle gibt Angreifern weitreichende Zugriffsrechte. Diese installieren ein Botnet auf anfälligen Geräten.

Das berichtet das IT-Sicherheitsunternehmen VulnCheck. Demnach hat eines der Systeme des Unternehmens am vergangenen Freitag einen Angriffsversuch auf die Schwachstelle CVE-2026-58115 (CVSS 10.0, Risiko „kritisch“) protokolliert. Es handelt sich dabei um eine im August gemeldete und mit Update gestopfte Sicherheitslücke in Simatic-IoT2050-Advanced-Geräten vor Version 4.3.4.1, auf denen Node-RED installiert ist – ein Node.js-basiertes Werkzeug für flussbasierte Programmierung. Auf das Webinterface von Node-RED ließ sich dort ohne Authentifizierung zugreifen. Angreifer können also ohne vorherige Anmeldung Knoten darüber programmieren und Systembefehle auf dem Server ausführen – und zwar beliebigen Schadcode mit höchsten Rechten.

Siemens hat mit einer eigenen Sicherheitsmitteilung reagiert und die Version 4.3.4.1 (oder neuer) der Firmware bereitgestellt, die das Problem löst. IT-Verantwortliche müssen sie jedoch selbst installieren. Alternativ können Admins Node-RED deinstallieren oder die Node-RED-Installation härten, führt das Dokument als mögliche Gegenmaßnahme aus.

Angreifer scannen das Netz

Bis Sonntag zählte VulnCheck bereits 16 Angriffe von derselben IP-Adresse auf die Lücke, mit unterschiedlichem Schadcode. Die IT-Forscher haben von der Angreifer-IP zudem weitere Missbrauchsversuche gegen sieben weitere Schwachstellen in anderer Software entdeckt. Bei den Anfragen zum Missbrauch der Node-RED-Lücke handelte es sich um vollständige Exploits. Sie haben einen Node-RED-Flow eingerichtet, automatisch ausgelöst und Binärdateien von Servern der oder des Angreifers heruntergeladen. Der Code war über drei Ebenen verschleiert. Was die Botnet-Malware genau anstellt, hat VulnCheck nicht untersucht. Die Analyse listet aber noch Indicators of Compromise auf. Die Angriffe kamen von einer IP-Adresse aus dem Netz von Microsoft, die sich in Brasilien verorten lässt.

IT-Verantwortliche sollten prüfen, ob sie IoT-Hardware an Netzwerkgrenzen betreiben oder diese aus dem Internet erreichbar ist, da Angreifer auch Schwachstellen in diesen Geräten suchen und missbrauchen. Aktualisierungen oder temporäre Gegenmaßnahmen sollten sie zudem zügig anwenden.