Lage auf einen Blick
Die Energiebranche steht unter anhaltendem Druck durch Cyberangriffe, die sich auf kritische Infrastrukturen und industrielle Steuerungssysteme (ICS/OT) konzentrieren. Eine besondere Dringlichkeit ergibt sich aus der aktiven Ausnutzung von Schwachstellen in weit verbreiteten Remote-Access-Lösungen wie Ivanti Connect Secure. Die Angriffe reichen von Ransomware-Kampagnen bis hin zu gezielten Operationen staatlich unterstützter Akteure, die auf Spionage und potenzielle Sabotage abzielen. Die Notwendigkeit einer integrierten IT/OT-Sicherheitsstrategie und eines robusten Schwachstellenmanagements ist evident.
Aktuelle Bedrohungen & Vorfälle
Im gelieferten Beobachtungsdatensatz fällt auf, dass die Energiebranche, insbesondere der Upstream-Öl- und Gassektor, weiterhin ein primäres Ziel für Cyberangriffe ist. Schwachstellen bei Fernzugriffen und mangelnde IT/OT-Segmentierung werden dabei ausgenutzt. Die Ransomware-Gruppe Warlock hat kritische Infrastrukturen, darunter Wasserversorger und Telekommunikationsanbieter, angegriffen und dabei SharePoint-Schwachstellen genutzt. Dies unterstreicht die Gefahr durch Ransomware für Betreiber kritischer Infrastrukturen, die über die Energiebranche hinausgeht, aber ähnliche Angriffsmuster aufweist.
Aktive Bedrohungsakteure
Mehrere Bedrohungsakteure sind in Bezug auf die Energiebranche aktiv. Volt Typhoon, APT38 und Salt Typhoon werden in den Meldungen mehrfach genannt und stellen eine persistente Bedrohung dar. Diese Gruppen sind bekannt für ihre Fähigkeit, sich langfristig in Netzwerken einzunisten und Spionage zu betreiben, was für die Energieversorgung kritische Auswirkungen haben kann. Die Ransomware-Gruppe Warlock, mutmaßlich aus China, zeigt, dass auch finanziell motivierte Akteure kritische Infrastrukturen ins Visier nehmen. Weitere Akteure wie TEMP.Veles, TeamPCP, ShinyHunters, Threat Group-3390 und ZIRCONIUM sowie Malware wie njRAT, Clop, Shai-Hulud und TrailBlazer sind ebenfalls in den Beobachtungen aufgeführt, was auf ein breites Spektrum an Bedrohungen hindeutet.
Angriffsmuster in dieser Branche
Die beobachteten Angriffsmuster in der Energiebranche umfassen primär die Ausnutzung von extern zugänglichen Systemen und Schwachstellen in ICS/OT-Komponenten. Fernzugriffslösungen sind ein häufiges Einfallstor, was die Bedeutung einer sicheren Konfiguration und eines schnellen Patch-Managements unterstreicht. Die schlechte Segmentierung zwischen IT- und OT-Netzwerken wird als kritischer Faktor für die Ausbreitung von Angriffen genannt. Ransomware-Angriffe, die auf Datenexfiltration und Systemverschlüsselung abzielen, sind ebenfalls ein wiederkehrendes Muster. Die Integration von funktionaler Sicherheit und OT-Cybersicherheit in einem einzigen Lebenszyklus wird als notwendig erachtet, um die miteinander verbundenen Risiken zu adressieren.
Relevante Schwachstellen
Die kritischste Schwachstelle ist derzeit CVE-2026-104935 in Ivanti Connect Secure (ICS), die aktiv ausgenutzt wird. Diese Schwachstelle ermöglicht Angreifern die Authentifizierungsumgehung und Fernausführung beliebiger Befehle über das Netz ohne Anmeldung. Der EPSS-Prognosewert liegt unter der beobachteten Lage, da die Ausnutzung bereits belegt ist. CISA hat dringend zu sofortigen Updates aufgerufen, da Honeypots bereits 105 Exploit-Versuche protokollierten. Weitere relevante Schwachstellen betreffen:
- CISA Malcolm (bis v26.07.1): Mehrere Schwachstellen ermöglichen die Umgehung von Authentifizierungsmechanismen und unautorisierten Zugriff.
- ABB Protection and Control IED Manager PCM600 (<=2.14): Zwei Schwachstellen erlauben Privilegienerhöhung oder das Überschreiten von Berechtigungen für Angreifer mit lokalen Zugangsdaten.
- HMS Networks PEAK-System PCAN Windows-Treiber (<=5.1.2.1151 und <=5.1.2): Kritische Sicherheitslücken könnten zum Absturz des Windows-Kernels führen.
- Moxa AIG-302 ThingsPro Edge Firmware (<=1.4.0): Zwei Schwachstellen könnten zur Offenlegung sensibler Informationen und zur Beeinträchtigung der Kommunikation führen.
- Johnson Controls EasyIO FG (vor 2.0b52): Schwachstellen wie CVE-2026-27872 (Improper Privilege Management) und CVE-2026-27873 (Use of Hard-coded Credentials) ermöglichen Brute-Force- und Password-Spraying-Angriffe.
Es ist zu beachten, dass CVE-2026-104935, CVE-2023-46805, CVE-2024-21887, CVE-2024-21893, CVE-2025-0282, CVE-2025-22457, CVE-2025-49706 und CVE-2025-53770 Produkte betreffen, die im KEV-Katalog benannt sind, was ihre hohe Kritikalität unterstreicht.
Empfehlungen für Security-Teams
Quellenhinweise
- CERT-FR: Vulnérabilité dans Ivanti Connect Secure (ICS) (14 octobre 2026)
- ICS-CERT Advisories: CISA Malcolm
- ICS-CERT Advisories: ABB Protection and Control IED Manager PCM600
- The Hacker News: CISA Urges Immediate Ivanti Connect Secure Updates as Honeypots Log 105 Exploit Attempts
- BleepingComputer: Ivanti warns of Connect Secure zero-day exploited in attacks
- BleepingComputer: Warlock ransomware breach SharePoint in water, telecom operator attacks
- Industrial Cyber: Upstream oil and gas: Securing operations across distance, remoteness and harsh environments
- Industrial Cyber: ISA/IEC standards require integrated safety and cybersecurity for industrial control systems, OT-Knight’s Barreto Jijón says
- ICS-CERT Advisories: HMS Networks PEAK-System PCAN Windows drivers
- ICS-CERT Advisories: Moxa AIG-302 ThingsPro Edge
- ICS-CERT Advisories: Hitachi Energy MicroSCADA X SYS600 Product
- ICS-CERT Advisories: Hitachi Energy RTU500 Product
- ICS-CERT Advisories: WAGO OS Linux
- Industrial Cyber: Nozomi outlines IT and OT security priorities ahead of India’s April 2027 CEA power sector cybersecurity deadline
- SecurityWeek: MITRE ATT&CK v20 Catalogs AI Abuse, MFA Bypass, Water Utility Attacks
- SecurityWeek: In Other News: ICS-Sniper Attack, Hacking XWorm Malware Operators, $250k Chrome Exploit
- Industrial Cyber: MITRE ATT&CK v20 expands critical infrastructure threat coverage with new IT and OT attack techniques
- Industrial Cyber: FERC identifies cybersecurity compliance gaps in US power sector, flags risks from AI tools and third-party control systems