LuxHawk.lu (+352) 27 52 67 45

← Zréck op d'Wëssen

Wann en Hacker d’Heizung ofschalt: d’Gebai, dat afréiert

Gebai a Miteegentum 11 min Auteur : Arnaud Colin Aktualiséiert : 19/09/2026

Resumé

Jo. Am Januar 2024 huet eng Schadsoftware Kommandoen un d’Automate vun engem Fernwäermnetz zu Lviv geschéckt an iwwer 600 Gebaier matten am Wanter ouni Zentralheizung gelooss; am November 2016 hunn zwee finnesch Gebaier Heizung a Waarmwaasser verluer, well hir Automaten ouni Firewall aus dem Internet erreechbar waren. A béide Fäll gouf keng Softwarelück ausgenotzt: en exposéierte Router an en net segmentéiert Netzwierk zu Lviv, Automaten, déi ouni Firewall aus dem Internet erreechbar waren, zu Lappeenranta, hu gelaangt.

Kann een e Gebai iwwer d’Netzwierk ofschalten?

An de meeschte Residenzen gëtt d’Heizung vun engem Automat gesteiert, deen am Heizraum installéiert ass. E liest Sonden aus, steiert Pompelen a Ventiler, an en ass ëmmer méi dacks fir d’Fernwaartung mam Internet verbonnen. D’Fro, déi sech e Syndic oder e Gestionnaire vun engem Gebai stellt, ass einfach: Kann en Ugräifer op de physesche Komfort vun de Bewunner awierken, an net nëmmen op Dateien?

Dräi dokumentéiert Fäll äntweren mat Jo, jiddwereen op seng Manéier. Zu Lviv huet am Januar 2024 eng Schadsoftware Kommandoen un d’Automate vun engem Fernwäermnetz geschéckt an iwwer 600 Gebaier ouni Heizung gelooss. Zu Lappeenranta hunn am November 2016 zwee Gebaier Heizung a Waarmwaasser verluer, ouni datt si onbedéngt viséiert waren. An der Ukrain huet am Dezember 2015 en Androngen ronn 225.000 Clienten ouni Stroum gelooss. Kee vun dëse Fäll berout op enger technescher Meeschterleeschtung: en exposéierten Apparat zu Lviv an zu Lappeenranta, duerch Phishing geklaut Zougangsdaten an e VPN ouni zweete Faktor an der Ukrain hu gelaangt.

Lviv, Januar 2024: iwwer 600 Gebaier ouni Heizung

De komplettste Fall ass deen, deen d’Enquêtefirma Dragos a sengem Bericht vum Juli 2024 iwwer d’Schadsoftware FrostyGoop beschreift. D’Chronologie zitt sech iwwer zéng Méint. De 17. Abrëll 2023 kommen d’Ugräifer duerch e Router vum Fernwäermbetreiber eran, deen am Internet exposéiert war an deem seng Schwachstell net bestëmmt gouf; laut der Fachpress war et e Modell vu MikroTik (SecurityWeek). Si installéieren do eng Webshell. Am November an Dezember 2023 zéie si Zougangsdaten aus der Windows-Registry eraus. An der Nuecht vum 22. op den 23. Januar 2024 gi L2TP-Tunnelen op Adressen zu Moskau opgemaach, a Modbus-TCP-Kommandoe gi direkt un d’ENCO-Automate vum Fernwäermnetz geschéckt, iwwer de Port 502.

Wat den Ugrëff méiglech gemaach huet, léisst sech an dräi Punkten zesummefaassen. De Router war aus dem Internet erreechbar. D’Netzwierk war net segmentéiert: Router, Verwaltungsserveren an Automate waren um selwechten Niveau, mat fest kodéierten Netzwierkrouten. A Modbus, de Protokoll, deen d’Leitsystem mat den Automate verbënnt, huet weder Authentifikatioun nach Verschlësselung: all Automat, deen iwwer dëse Port erreechbar ass, ka vu jidderengem gesteiert ginn, deen e gesäit. Et gouf keng Softwarelück ausgenotzt, déi eng CVE-Kennung huet. Dragos stellt FrostyGoop als déi néngt bekannte Schadsoftware duer, déi et op industriell Systemer ofgesinn huet, an als déi éischt, déi Modbus TCP benotzt, fir op industriell Equipementer anzewierken; zum Zäitpunkt vun hirer Entdeckung huet keen Antivirus se erkannt.

Laut dem Bericht vun Dragos gouf d’Firmware vun den Automaten op eng Versioun zréckgesat, déi déi Iwwerwaachungsfunktiounen net hat, déi de Betreiber benotzt huet, sou datt dësen d’Siicht op seng Installatioun verluer huet; d’Automaten hunn duerno falsch Miesswäerter geliwwert, d’Waasser gouf als waarm gemellt, obwuel et kal war, an de System huet opgehalen ze hëtzen. D’Ugräifer hunn net probéiert, d’Automaten ze zerstéieren.

D’Auswierkung: iwwer 600 Wunngebaier ouni Zentralheizung bei Temperaturen ënner Null, an, laut Dragos, bal zwee Deeg Aarbecht fir de Betreiber, fir de Schued ze behiewen. Déi ukrainesch Autoritéiten, zitéiert vun The Record, schwätze vun „iwwer 600 Haushalter“ an nennen de Betreiber, Lvivteploenergo. Keng vun de consultéierte Quellen erwänt Affer. Dragos huet deemools weltwäit ronn 46.000 Modbus-TCP-Apparater gezielt, déi am Internet exposéiert waren.

Dragos nennt weder e Land nach e Grupp; si stellt nëmme Verbindungen op Adressen zu Moskau fest. D’Landesamt für Verfassungsschutz vu Baden-Württemberg schreift awer „e russeschen Akteur“: dës Formuléierung geet iwwer den Enquêtebericht eraus. Wat d’Reaktioun ugeet, verweist Dragos a sengem Blogartikel vum 23. Juli 2024 op déi fënnef kritesch SANS-Kontrolle fir industriell Systemer, dorënner d’Segmentéierung an d’Iwwerwaachung vum Netzwierk. D’Muster ass net spezifesch fir d’Ukrain: en Avis vun der amerikanescher Agence CISA vum 7. Abrëll 2026 beschreift Akteuren, déi mam Iran verbonne sinn an déi am Waasser- an am Energiesecteur Automate manipuléieren, déi iwwer déi selwecht Ports, dorënner de Port 502, am Internet exposéiert sinn.

Lappeenranta, November 2016: zwee Gebaier an der Keelt, ouni viséiert gewiescht ze sinn

Den zweete Fall gläicht méi enger Lëtzebuerger Copropriété: eng normal Residenz, e Facility-Manager an en Automat am Heizraum, dee fir d’Fernwaartung mam Internet verbonne gouf. Tëscht Enn Oktober an Donneschdeg, dem 3. November 2016, kréien d’Automate vun zwee Gebaier, déi vun der Immobiliëservice-Gesellschaft Valtia geréiert ginn, en anormalen Dateverkéier. Den Direkter vu Valtia, de Simo Rounela, erkläert Vice, datt den Automat ënner dëser Belaaschtung säi Steierkrees all fënnef Minutten nei gestart huet, sou datt d’Heizung net méi ugesprongen ass.

Keng Softwarelück, keen Androngen, keng Schadsoftware goufe festgestallt. D’Regulatiounsautomate vu Fidelix, déi d’Zentralheizung an d’Waarmwaasser gesteiert hunn, waren direkt aus dem Internet erreechbar, ouni Firewall. De genaue Mechanismus bleift ëmstridden: de Betreiber schwätzt vun Attacken op d’DNS-Serveren, déi e benotzt huet (BleepingComputer), wärend déi finnesch Kommunikatiounsautoritéit exposéiert Automate beschreift, déi als Verstäerker an enger Attack géint en aneren europäeschen Akteur gedéngt hunn. Sou oder sou huet kee missen op dës zwee Gebaier zielen, fir se an d’Keelt ze setzen.

D’Fernsteierung huet net méi reagéiert, an d’Techniker sinn als éischt op d’Plaz gefuer an hunn eng lokal Pann gesicht; BleepingComputer bericht, datt d’Firma e puer Deeg gebraucht huet, fir ze verstoen, wat lass war. Soubal d’Automate vum Internet getrennt waren, ass d’Heizung ongeféier eng Stonn nom Alarm erëm ugaangen, laut Rounela; d’Netzverbindung gouf duerno hannert enger Filterung vum Dateverkéier erëm hiergestallt (Security Ledger).

D’Auswierkung: Heizung a Waarmwaasser an zwee Gebaier bei Temperaturen ënner Null ënnerbrach. D’Quellen halen net genee fest, wéi laang d’Ënnerbriechung effektiv gedauert huet, wärend d’Attack selwer ongeféier eng Woch gedauert huet; et huet kee missen ëmquartéiert ginn. D’Täter goufen ni identifizéiert (Etelä-Saimaa, 11. November 2016). D’Informatioun, datt bei enger vergläichbarer Attack d’Äis vun enger Äisbunn zu Rauma geschmolt wier, gouf vun der Stad dementéiert (Korrektur vun Yle).

Den Direkter vu Fidelix, de Jussi Rantanen, seet Yle, datt eng gratis Firewall-Software mat den Automate geliwwert gëtt, awer aktivéiert muss ginn, an datt „am Endeffekt och d’Copropriété oder d’Immobiliëgesellschaft mat concernéiert ass“; vill Copropriétéen zécken, fir eng Firewall ze bezuelen. Am Mäerz 2019 huet Yle bericht, datt a Finnland nach ronn 2.000 Automate vu Gebaier ouni Schutz am Internet exposéiert waren.

Ukrain, Dezember 2015: wann et d’Stroumnetz ass, dat ausfält

Den drëtte Fall betrëfft kee Gebai, mee d’Infrastruktur, vun där all Gebai ofhänkt: Lifter, Pompelen, Dieren, Heizkesselen. Den 23. Dezember 2015, géint 15.35 Auer, iwwerhuelen Ugräifer op Distanz d’Kontroll iwwer d’Ecrane vum Leitsystem vun dräi regionale Stroumverdeeler a maachen Disjoncteuren op: ronn 225.000 Clienten hu matten am Wanter kee Stroum méi, laut der Alerte vum amerikaneschen ICS-CERT. Et ass déi éischt ëffentlech Stroumpann, déi duerch eng Cyberattack verursaacht gouf.

Erakomm sinn d’Ugräifer op d’mannst sechs Méint méi fréi, iwwer geziilt Phishing-Mailen mat Office-Dokumenter mat Makroen, déi d’Schadsoftware BlackEnergy 3 installéiert hunn. Mat den esou geklauten Zougangsdaten hunn d’Ugräifer sech iwwer de VPN vun der Firma mam Industrienetz verbonnen, mat legitime Konten an ouni zweete Faktor bei der Authentifikatioun, wéi de Bericht vun E-ISAC/SANS vum Mäerz 2016 et beschreift. Fir eranzekommen, gouf keng Softwareschwachstell ausgenotzt.

Zur selwechter Zäit, wéi si d’Disjoncteuren opgemaach hunn, hunn d’Ugräifer d’Aarbechtsstatioune mam Komponent KillDisk geläscht, d’Firmware vun de Seriell-Ethernet-Konverter an den Ëmspannstatiounen ersat an de Callcenter fir d’Clienten duerch en telefoneschen Denial-of-Service iwwerlaascht. De Stroum gouf mat der Hand, op der Plaz, erëm ugeschalt. Laut der Fallstudie vum nationale Laboratoire vun Idaho (2022) goufen op d’mannst 57 Ëmspannstatiounen iwwer zwee Méint laang ofgekoppelt a mat der Hand gesteiert; d’Pann selwer huet, jee no Gesellschaft, dräi bis sechs Stonnen gedauert.

E Joer méi spéit, de 17. Dezember 2016, ass d’Ëmspannstatioun Pivnichna bei Kiew e bësse méi wéi eng Stonn ausgefall; ESET hält et fir „héchstwahrscheinlech“, datt d’Schadsoftware Industroyer bedeelegt war, vun där e Modul d’Schwachstell CVE-2015-5374 vu Siemens-Schutzrelaisen ausgenotzt huet, en Niewekomponent, deen net als Agangsdier gedéngt huet. Am Géigesaz zum Fall vu Lviv ass d’Attack vun 2015 geriichtlech zougeschriwwen: den 19. Oktober 2020 huet den amerikanesche Justizministère sechs Offizéier vun der Eenheet 74455 vum russesche Militärgeheimdéngscht ugeklot.

Wat e Gebai oder eng Copropriété zu Lëtzebuerg dorausser léiere kann

Kee vun dëse Fäll huet sech zu Lëtzebuerg ofgespillt, an et ass hei bis haut keen Hacking vun der technescher Gestioun vun engem Gebai an enger Quell vun éischtem Rang dokumentéiert. D’Equipementer awer sinn déi selwecht: Automaten am Heizraum, Gateways fir d’Fernsteierung, e Router, deen den Installateur opgestallt huet.

  • De Betreiber vun der Heizung froen, wat aus dem Internet erreechbar ass. Zu Lviv wéi zu Lappeenranta huet d’Attack mat engem exposéierten Apparat ugefaangen. De Waartungskontrakt muss soen, wéi eng Apparater vu baussen erreechbar sinn a vu wiem, a virgesinn, datt d’Fernsteierung iwwer e VPN mat Journaliséierung leeft an net iwwer en oppene Port. D’Fro gëllt fir all Prestataire: den Androngen beim Händler Target am Joer 2013 huet mat den Zougangsdate vun engem Heizungs- a Kälteinstallateur ugefaangen, deen op Phishing erafall war, laut dem Bericht vum amerikanesche Senat; de Prestataire huet präziséiert, datt dësen Zougang nëmme fir d’Facturatioun, d’Areeche vu Kontrakter an d’Projetsgestioun gedéngt huet, ouni Steierung vun der Heizung.
  • Dat technescht Netzwierk vum Rescht trennen. Zu Lviv hu Router, Serveren an Automaten dat selwecht Netzwierk gedeelt. Den Heizraum, d’technesch Gestioun vum Gebai an d’Dieren hunn näischt am Netzwierk vum Büro vum Syndic ze sichen, an och net an deem vum Concierge.
  • D’Firewall aktivéieren an d’Standardpasswierder vum Hiersteller änneren. Déi finnesch Automate goufe mat enger Firewall geliwwert, déi een aktivéiere muss. De Botnet Mirai huet 2016 Honnertdausende vu Kameraen a Recorder rekrutéiert, bei deenen d’Standard-Zougangsdate vum Hiersteller net geännert gi waren; d’Alerte vum US-CERT vum Oktober 2016 recommandéiert, dës Zougangsdaten ze änneren an dës Apparater vum Internet ze trennen.
  • Wëssen, wien aktualiséiert, a wéini. Am Mee 2013 ass d’Leitsystem vun engem Bürosgebai vu Google zu Sydney nach op enger Versioun gelaf, fir déi de Patch zënter August 2012 existéiert huet (Avis ICSA-12-228-01). De Kontrakt muss déi Persoun nennen, déi fir d’Aktualiséierunge vum Automat a vum Gateway verantwortlech ass.
  • Eng Zwee-Faktor-Authentifikatioun fir all Fernzougang verlaangen. An der Ukrain war e VPN, dee mat geklauten Zougangsdate benotzt gouf, net vun engem legitimen Zougang z’ënnerscheeden. En Installateur, dee sech mat engem einfache Passwuert verbënnt, setzt d’Gebai der selwechter Situatioun aus.
  • Den Notbetrib virgesinn. Zéng Méint stëll Präsenz zu Lviv, e puer Deeg, fir zu Lappeenranta ze verstoen, zwee Méint Handbetrib an der Ukrain: d’Fro un den Installateur ass „wien mécht den Heizraum erëm un, wann d’Fernsteierung léit?“. E fixe Sollwäert oder en Zwangsbetrib op der Plaz muss ouni Netzwierk méiglech bleiwen.
  • D’Fernzougäng iwwerwaachen a wëssen, wien een uruffe soll. Dat finnescht Waartungspersonal huet als éischt eng lokal Pann gesicht. E Logbuch vun de Verbindungen op d’Fernsteierung, dat regelméisseg gelies gëtt, an eng Nummer, déi een am Zweiwel urifft (den Installateur, duerno de CIRCL zu Lëtzebuerg), verhënneren, datt Deeg verluer ginn.
  • Och de Computer vum Syndic schützen. Den nationalen CSIRT beschreift a sengem Bericht TR-93 vum Februar 2025 Computere vun der Comptabilitéit, déi duerch eng falsch Rechnung kompromittéiert goufen, an duerno betrügeresch Iwwerweisungen an d’Ausland; e recommandéiert d’Validatioun nom Véier-Aen-Prinzip an d’Erausdoe vun der Chipkaart aus dem Lieser, wa se net gebraucht gëtt. Eng Ännerung vun der Bankverbindung, déi per E-Mail erakënnt, gëtt iwwer en onofhängege Kanal iwwerpréift, an Offline-Backupen, déi getest sinn, bleiwen d’Mëttel géint eng Verschlësselung.
  • Ouni ze waarde mellen. Wa perséinlech Donnéeë vu Copropriétairen dovu betraff sinn, muss d’CNPD bannent 72 Stonnen informéiert ginn (Artikel 33 vum RGPD) an déi betraffe Persounen „ouni ongerechtfäerdegte Retard“ (Artikel 34). Bei der Cyberattack op den Operateur Encevo am Juli 2022 huet d’Entreprise d’CNPD an de Regulateur informéiert a Plainte deposéiert, a präziséiert, datt d’Versuergung mat Stroum a Gas net betraff war.
  • Iwwerpréiwen, ier een et weidererzielt. „Russland huet d’Heizung vu Lviv ofgeschalt“ ass net dat, wat den Enquêtebericht seet, an déi finnesch Äisbunn ass net geschmolt. Virun enger Generalversammlung sech un déi gesécherte Fakten halen.

De Fall vu Lappeenranta faasst alles zesummen: eng Firewall gouf mat den Automate geliwwert, déi waren awer ouni Schutz erreechbar, a fir d’Heizung erëm a Gang ze kréien, huet et gelaangt, se vum Internet ze trennen. Eng Firewall oder e VPN kascht manner wéi eng Woch ouni Heizung.

Quellen