FrostyGoop ist bisher die neunte ICS-spezifische Malware, die entdeckt wurde. Ihre Fähigkeit, über Modbus-TCP über den standardisierten Port 502 zu kommunizieren, der in vielen industriellen Systemen verwendet wird, macht sie besonders gefährlich. FrostyGoop kann zudem in den sogenannten »Holding Registers« lesen und schreiben. Die Holding Registers enthalten wichtige Eingangs-, Ausgangs- und Konfigurationsdaten.

Die Malware wurde in der Programmiersprache Golang geschrieben und ist für Windows-Systeme kompiliert. Bei der Entdeckung wurde festgestellt, dass keine der gängigen Antivirenprogramme die Malware als schädlich identifizieren konnte, was ihre Erkennung und Bekämpfung durch herkömmliche IT-Cybersicherheitsprogramme erheblich erschwert.

Breitere Auswirkungen und Empfehlungen

Die Auswirkungen von FrostyGoop zeigten sich bereits im Januar 2024 in in Lviv, Ukraine, als ein Cyberangriff eine städtische Energiegesellschaft lahmlegte. Bei diesem Angriff wurden die Heizsysteme von Hunderten Wohngebäuden außer Betrieb gesetz. Der Angriff dauerte knapp zwei Tage, bevor er vollständig behoben werden konnte. Nach Angaben von Dragos ergab eine Untersuchung, dass die Angreifer möglicherweise über eine Sicherheitslücke in einem öffentlich zugänglichen Mikrotik-Router Zugang zum Netzwerk der Opfer erlangten. Nachdem sie in das Netzwerk eindrangen, nutzten sie eine Webshell, um einen Tunnel herzustellen und die Kontrolle über die Systemserver und die Heizsystemcontroller zu übernehmen. Die Angreifer manipulierten die ENCO-Controller, indem sie deren Firmware auf eine ältere Version herabstuften, was zu fehlerhaften Messungen und einer Fehlfunktion des Heizsystems führte.

FrostyGoop hat weitreichende Folgen auf die Cybersicherheit im OT-Bereich. Da das Modbus-Protokoll in vielen industriellen Umgebungen verwendet wird, könnten ähnliche Angriffe potenziell alle Industriebranchen betreffen. Deshalb ist es wichtig, dagegen Maßnahmen zu ergreifen. Die Netzwerktransparenz in ICS-Umgebungen muss erhöht werden, um Anomalien im Modbus-Datenverkehr zu erkennen und zu melden.