NASA: Hacker erbeuten Daten per Raspberry Pi

Hackern ist es gelungen, Daten der Marsmissionen aus dem Netzwerk der NASA zu erbeuten. Wie die US-amerikanischen Aeronautik- und Raumfahrtbehörde bekanntgab, erfolgte der Hacker-Angriff auf die Server des Jet Propulsion Laboratory. Den Einstieg ermöglichte ein ungesicherter Raspberry Pi.

Angriff erfolgte bereits vor über einem Jahr

Wie die NASA mitteilte, konnten insgesamt 23 Dateien mit einer Gesamtgröße von 500 Megabyte erbeutet werden. Zwei dieser Dateien enthielten Informationen zum International Traffic in Arms, den Regelungen des internationalen Waffenhandels und der Missionen des Mars Science Laboratory.

Wie dem offiziellen Bericht der NASA zu entnehmen ist, erfolgte der Angriff bereits im April 2018 und blieb über ein Jahr lang unentdeckt. Mittlerweile ist der Zwischenfall aber Bestandteil einer behördeninternen Untersuchung der NASA und liegt zudem dem United States Capitol Police Department (USCP) vor.

Raspberry Pi diente als Einstiegstor

Dem Bericht zufolge diente den Hackern ein ungesicherter Einplatinencomputer vom Typ Raspberry Pi als Einstieg in das Netzwerk. Der Bastelrechner war ohne Autorisierung der Behörde in das Netzwerk eingebunden und entsprechend nicht ausreichend gesichert worden. Der folgende Hacker-Angriff wurde als Advanced Persistent Threat und somit also als zielgerichteter, schwerwiegender und effektiver Angriff eingestuft.

Der Bericht deckt zudem ein generelles Problem bei der Zertifizierung von technischen Geräten im JPL, dem Strahlantriebslabor der NASA, auf. Der Raspberry Pi, der als Einfallstor für den Hacker-Angriff diente, hätte laut Regularien in eine Liste für zu prüfende Systeme aufgenommen werden müssen, dies geschah aber offenkundig nicht.

Ein ranghoher Administrator gab laut dem Bericht zu, neue Systeme nicht regelmäßig in die Liste eingetragen zu haben, weil die Aktualisierung der Datenbank oft nicht funktionierte und er anschließend vergaß, die Systeme händisch nachzutragen. Die genaue Anzahl der womöglich noch immer nicht autorisierten Systeme im NASA-Netzwerk nennt der Bericht nicht.

Die NASA fällt hinsichtlich der IT-Sicherheit durch

Bereits im Mai hatte ein Bericht zu Untersuchungen des Ausschusses für Aufsicht und Regierungsreformen (PDF via heise.de) im US-Repräsentantenhaus für Aufsehen gesorgt. Demnach sei sich die NASA ihrer Gefährdungslage nicht bewusst: Die Behörde sei die einzige Bundesbehörde der USA, bei der kein einziges der IT-Projekte Verbesserungen in den nächsten 6 Monaten erwarten lassen. Durchgefallen ist die NASA zudem bei der Einstufung für das US-Modernisierungsgesetz FISMA, bei dem die Behörde nur drei von zehn Zielvorgaben hinsichtlich Cyber-Security erreichen konnte.