Kaspersky findet Schwachstellen in vernetzten Fahrzeugen

Ein aktuelles Security-Audit von Kaspersky zeigt, wie Angreifer durch die Ausnutzung einer Zero-Day-Schwachstelle in einer Anwendung eines Auftragnehmers die vollständige Kontrolle über das Telematiksystem eines Fahrzeugs hätten erlangen können – inklusive potenzieller Manipulation sicherheitsrelevanter Funktionen wie Gangwechsel oder Motorabschaltung. Die Untersuchung offenbart schwerwiegende Schwachstellen sowohl in der Infrastruktur des Herstellers als auch im vernetzten Fahrzeug selbst und verdeutlicht den dringenden Handlungsbedarf der Automobilindustrie, Cybersicherheitsmaßnahmen zu stärken und Drittsysteme besser abzusichern. Die Ergebnisse wurden auf dem diesjährigen Security Analyst Summit (SAS) vorgestellt [1].

Durch die Ausnutzung einer Zero-Day-Schwachstelle in einer öffentlich zugänglichen Anwendung eines Auftragnehmers gelang es den Kaspersky-Experten, die Kontrolle über das Telematiksystem des Fahrzeuges zu erlangen. Damit hätten Angreifer beispielsweise während der Fahrt Gangwechsel erzwingen oder den Motor abstellen können, was die Sicherheit von Fahrern und Beifahrern gefährden würde. Das Audit verdeutlicht gravierende Cybersicherheitsrisiken in der Automobilindustrie und unterstreicht die dringende Notwendigkeit, Schutzmaßnahmen deutlich zu verstärken.

Schwachstellen auf Seite des Fahrzeugherstellers

Das Security-Audit wurde remote durchgeführt und umfasste sowohl die öffentlich zugänglichen Dienste des Herstellers als auch die Infrastruktur des Auftragnehmers. Dabei identifizierten die Kaspersky-Experten mehrere ungeschützte Web-Dienste. Über eine bislang unbekannte SQL-Injection-Schwachstelle in der Wiki-Anwendung – einer webbasierten Plattform zur gemeinsamen Erstellung und Verwaltung von Inhalten – gelang es ihnen, eine Liste von Nutzerkonten des Auftragnehmers inklusive Passwort-Hashes zu extrahieren. Aufgrund schwacher Passwortrichtlinien konnten einige dieser Passwörter erraten werden. Dadurch erhielten die Experten Zugriff auf das Issue-Tracking-System des Auftragnehmers, ein Tool zur Verwaltung und Nachverfolgung von Aufgaben, Fehlern und Projekten. Dieses System enthielt sensible Konfigurationsdaten der Telematik-Infrastruktur des Herstellers, darunter eine Datei mit gehashten Passwörtern von Nutzern eines Fahrzeugtelematik-Servers. In modernen Fahrzeugen ermöglicht Telematik die Erfassung, Übertragung, Analyse und Nutzung zahlreicher Daten – etwa zu Geschwindigkeit oder Geolokalisierung – und bildet somit eine zentrale Schnittstelle für vernetzte Fahrzeugsysteme.

Schwachstellen im vernetzten Fahrzeug

Auf der Seite des vernetzten Fahrzeugs entdeckten die Kaspersky-Experten eine falsch konfigurierte Firewall, die interne Server ungeschützt ließ. Mithilfe eines zuvor erlangten Servicekontopassworts erhielten sie Zugriff auf das Dateisystem des Servers und fanden dort die Zugangsdaten eines weiteren Auftragnehmers. Dadurch gelang es ihnen, die volle Kontrolle über die Telematik-Infrastruktur zu übernehmen.

Im Zuge des Audits stießen sie zudem auf einen Firmware-Update-Befehl, mit dem sich modifizierte Firmware auf das Telematik-Steuergerät (TCU) hochladen ließ. So erhielten sie Zugriff auf den CAN-Bus (Controller Area Network) des Fahrzeugs – das zentrale Kommunikationssystem, das verschiedene Komponenten wie Motorsteuerung und Sensoren miteinander verbindet. Anschließend konnten weitere Systeme, darunter die Motorsteuerung, angesprochen werden. Dies hätte potenziell die Manipulation zahlreicher sicherheitsrelevanter Fahrzeugfunktionen ermöglicht und die Sicherheit von Fahrer und Beifahrer ernsthaft gefährdet.

„Die Sicherheitslücken resultieren aus Problemen, die in der Automobilindustrie weit verbreitet sind: öffentlich zugängliche Webdienste, schwache Passwörter, fehlende Zwei-Faktor-Authentifizierung und unverschlüsselte Speicherung sensibler Daten“, erklärt Artem Zinenko, Head of Kaspersky ICS CERT Vulnerability Research and Assessment. „Das Audit zeigt, wie bereits eine einzelne Schwachstelle in der Infrastruktur eines Auftragnehmers zu einer vollständigen Kompromittierung sämtlicher vernetzter Fahrzeuge führen kann. Die Automobilindustrie muss robuste Cybersicherheitspraktiken priorisieren – insbesondere in Systemen von Drittanbietern –, um Fahrer zu schützen und das Vertrauen in vernetzte Fahrzeugtechnologien zu bewahren.“

Kaspersky-Empfehlungen zur Absicherung von Telematik-Ökosystemen

Für Dienstleister:

• Den Internetzugriff auf Webdienste ausschließlich über ein VPN erlauben.
• Dienste von Unternehmensnetzen isolieren, um ungewollten Zugriff zu verhindern.
• Strikte Passwortrichtlinien durchsetzen, eine Zwei-Faktor-Authentifizierung implementieren und sensible Daten verschlüsseln.
• Logging in ein SIEM integrieren, um sicherheitsrelevante Ereignisse in Echtzeit zu überwachen.

Für Hersteller:

• Den Zugriff auf die Telematik-Plattform aus dem Fahrzeugnetzsegment beschränken.
• Positivlisten für Netzwerkinteraktionen verwenden, um nur autorisierte Verbindungen zuzulassen.
• Die Passwort-Authentifizierung bei Secure Shell deaktivieren und Dienste mit minimalen Rechten betreiben.
• Die Befehlsauthentizität in Telematik-Steuereinheiten sicherstellen und diese Maßnahmen mit der Integration in ein SIEM kombinieren.

[1] https://thesascon.com/

Über Kaspersky ICS CERT

Kaspersky ICS CERT konzentriert sich in erster Linie auf die Identifizierung und Bekämpfung potenzieller und bestehender Bedrohungen für industrielle Automatisierungssysteme und das industrielle Internet der Dinge (IloT). Das Team hat erfolgreich Hunderte von Schwachstellen in weit verbreiteten ICS-Produkten und -Komponenten identifiziert und zu deren Beseitigung beigetragen, wodurch die Sicherheit und Widerstandsfähigkeit dieser kritischen Systeme gegenüber komplexen Cyberangriffen verbessert wurde.