Betreff: Ransomware-basiertes Datenleck von Bau- und Konstruktionsdateien des Kernkraftwerks Kudankulam

Zielunternehmen: Reliance Group (Dienstleister) / Kernkraftwerk Kudankulam (KKNPP) Blöcke 3 und 4

Bedrohungsakteur: World Leaks (Rebranding von Hunters International)

Ausgabedatum: 15. Juli 2026

Im Juli 2026 veröffentlichte die Erpressergruppe World Leaks ein massives Paket gestohlener Dokumente im Darknet. Die Akteure behaupteten, die Dateien stammten aus einer Exfiltration beim indischen Mischkonzern Reliance Group, einem wichtigen Engineering-Dienstleister für das Kernkraftwerk Kudankulam (KKNPP) in Tamil Nadu, Indien.

Das Kernkraftwerk Kudankulam (KKNPP) ist das größte Kernkraftwerk Indiens und liegt im Distrikt Tirunelveli in Tamil Nadu. Es wurde in Zusammenarbeit mit Russland gebaut. Die Anlage ist zentraler Bestandteil der indischen Ziele für saubere Energie und verfügt über sechs von Russland entworfene VVER-1000-Reaktoren, die insgesamt 6.000 MW Strom erzeugen sollen. 

Von den insgesamt rund 858.000 bei der Reliance Group entwendeten Dateien stehen über 19.000 in direktem Zusammenhang mit dem Kudankulam-Kernkraftwerksprojekt. Die Reliance Group hat bestätigt, dass es zu einer „teilweisen Kompromittierung“ auf einem Server kam, der vom Drittanbieter-Rechenzentrumsdienstleister Yotta gehostet wird. Dies stellt eine Goldgrube für jeden Akteur dar, der sich für die Anlage interessiert.

Warum dieser Vorfall von Bedeutung ist

Betreiber kritischer Infrastrukturen (KRITIS) verlassen sich in der Regel auf mehrschichtige physische Sicherheit, Zutrittskontrollen, betriebliche Segmentierung und den Schutz sensibler Engineering-Informationen. Obwohl keine Beweise vorliegen, die auf eine direkte Kompromittierung der operativen, aktiven Reaktorsteuerungsnetzwerke (Operational Technology oder OT) hindeuten, bietet die Offenlegung hochpräziser technischer Blaupausen, Lüftungspläne und Anlagenlayouts feindlichen Nationalstaaten und hochentwickelten Bedrohungsakteuren genau die physischen und logischen Pläne, die für die Planung zukünftiger kinetischer oder Cyber-Operationen erforderlich sind.

Der Abfluss der Lieferantenliste ist ein besorgniserregender Faktor. Bedrohungsakteure und selbst gegnerische Staaten mit geopolitischen Interessen können diese Informationen nutzen, um eine koordinierte Infiltration der Lieferkette zu planen und gleichzeitig ausreichendes Wissen zu erlangen, um kritische betriebliche Details zu entschlüsseln. Die Offenlegung von Lieferantenprofilen kann zudem zukünftige Kernkraftwerke dem Risiko von Infiltrationsversuchen der Lieferkette aussetzen. 

Erste Auswirkungsanalyse

• Die Inspektionsberichte könnten Hinweise auf Sicherheitslücken enthalten, die von einem Bedrohungsakteur ausgenutzt werden könnten.

• Auswirkungen auf OT-Systeme: Keine. Die Reaktorsteuerungssysteme und der aktive Betrieb bleiben isoliert und unbeeinträchtigt.

• Kompromittierte Daten: Über 19.000 Dateien, darunter technische Blaupausen, Raumpläne einer gemeinsamen Leitwarte, Lüftungs- und Kühlsystemdesigns, Inspektionsberichte, Lieferantenlisten und Versicherungspolicen.

• Betroffene Anlagenkomponenten: Hauptsächlich die Blöcke 3 und 4 des KKNPP, die sich derzeit im Bau befinden und voraussichtlich 2027 in Betrieb gehen sollen.

• Finanzielle und betriebliche Auswirkungen: Hoher Reputationsschaden für das Ökosystem der Dienstleister, potenzielle Verzögerungen bei der Inbetriebnahme der Blöcke 3 und 4 aufgrund von Sicherheitsneubewertungen sowie eine erhöhte Verwundbarkeit der Lieferkette.

Strategische Bedeutung für kritische Infrastrukturen

Dieser Vorfall markiert einen kritischen Wendepunkt in der Art und Weise, wie Angreifer hochgesicherte Umgebungen ins Visier nehmen. Anstatt ein direktes Eindringen in die stark gesicherten administrativen Kernkraftwerksnetzwerke zu versuchen, wählten die Bedrohungsakteure den Weg des geringsten Widerstands: die Lieferkette aus externen Dienstleistern und Cloud-Rechenzentren. Aus diesem Grund nehmen die Aufklärungsangriffe auf Upstream- und Downstream-Einheiten in der KRITIS-Lieferkette zu. Bedrohungsakteure sondieren diese Infrastrukturen und Einrichtungen, um Einfallstore zu identifizieren.  

Dieser Vorfall beweist, dass die Sicherheitsgrenze einer kritischen Anlage nur so stark ist wie das am wenigsten gesicherte digitale Repository ihres Dienstleisters.

Ereignisübersicht

Erkennung

Am 29. Mai stellte der indische Rechenzentrumsanbieter Yotta verdächtige Aktivitäten auf einem von der Reliance Group genutzten gehosteten Server fest. Während Yotta berichtete, dass die unmittelbare Ausführung einer Ransomware-Payload erfolgreich verhindert werden konnte, wurde später festgestellt, dass bereits vor der Eindämmung des Angriffs eine unbemerkte Datenexfiltration stattgefunden hatte.

Yotta konnte die Ausführung einer sekundären Ransomware-Payload verhindern (eine primäre Payload könnte die Verbreitung der ursprünglichen Kompromittierung erleichtert haben). Der phasenweise Einsatz von Payloads ermöglicht einen inkrementellen Ablauf des Angriffs, wodurch die Entdeckungswahrscheinlichkeit verringert und die Wahrscheinlichkeit erhöht wird, dass mindestens eine Phase des Angriffs erfolgreich ist.

Die gestohlenen Daten wurden möglicherweise schrittweise über verschlüsselte Outbound-Sitzungen mit geringem Volumen exfiltriert, die sich in den legitimen Netzwerkverkehr einfügten, sodass die Aktivität unter den herkömmlichen Erkennungsschwellenwerten blieb. Derzeit gibt es jedoch keine öffentlich zugänglichen Beweise, die die genaue Exfiltrationstechnik bestätigen.

Öffentliche Bekanntgabe

Am 15. Juli 2026 berichteten internationale Nachrichtenagenturen (allen voran Reuters), dass World Leaks die exfiltrierten Dateien auf seiner Darknet-Data-Leak-Site (DLS) veröffentlicht hatte. Die Reliance Group gab daraufhin eine öffentliche Erklärung ab, in der sie eine „teilweise Kompromittierung“ eines gehosteten Servers bestätigte und einräumte, dass sie die Regierungsbehörden, einschließlich des indischen Computer Emergency Response Team (CERT-In), benachrichtigt habe.

Aktueller Ermittlungsstand

Die Untersuchung wird aktiv vom CERT-In in Koordination mit der Nuclear Power Corporation of India Limited (NPCIL) durchgeführt. Die Ermittlungen konzentrieren sich auf:

· die Identifizierung der betroffenen Zonen und eventueller verbleibender Payloads, die sich noch in den mit diesen Zonen verbundenen Netzwerken befinden könnten,

· die absolute Authentizität der offengelegten Dateien,

· das Versagen von Kontrollmechanismen, das zu dem Vorfall geführt hat, 

· die Bewertung der systemischen Auswirkungen auf die Lieferkette,

· die Implementierung defensiver Gegenmaßnahmen zur Sicherung der physischen und digitalen Grenzen der KKNPP-Blöcke 3 und 4,

· die Überprüfung, ob der Bedrohungsakteur über die veröffentlichten Daten hinausgehende Informationen zurückbehalten hat.

Technische Analyse

Art der offengelegten Daten

Die über 19.000 abgeflossenen Dateien bestehen hauptsächlich aus technischen Design- und Baudokumentationen aus dem Zeitraum zwischen 2016 und Mitte 2025. Diese Materialien stehen in direktem Zusammenhang mit der Entwicklung der Blöcke 3 und 4. Es ist anzumerken, dass die durchgesickerten Dateien keine Entwürfe für die primären Reaktoren enthalten. Diese werden von Russlands staatlichem Atomenergiekonzern Rosatom geliefert und verwaltet.

Betroffene Systeme

Die Kompromittierung war strikt auf eine externe IT-Cloud-Umgebung eines Drittanbieters beschränkt.

• Primäres Opfer: Yotta Data Center (insbesondere die von der Reliance Group/Reliance Infrastructure gemietete Hosting-Infrastruktur).

• Status der Operational Technology (OT): Es gibt keinerlei Beweise oder technische Anzeichen für eine laterale Bewegung in das physische OT-Netzwerk oder die verteilten Steuerungssysteme (Distributed Control Systems, DCS) des KKNPP. Die Reaktorsteuerungssysteme werden in physisch segmentierten Netzwerken (Air-Gap) betrieben, die vollständig von den Systemen der externen Dienstleister getrennt sind.

Kategorisierung des Angriffs

Dieser Vorfall wird als Kompromittierung der Lieferkette über einen Drittanbieter unter Anwendung von Single-Extortion-Taktiken (Datendiebstahl und öffentliche Bloßstellung) eingestuft. Obwohl der Bedrohungsakteur ursprünglich aus dem Ransomware-Umfeld stammt, hat er in dieser Kampagne auf die Verschlüsselung mittels Payloads verzichtet und sich stattdessen vollständig auf die Exfiltration und die darauf basierende Erpressung konzentriert.

Beziehung: Dienstleister zu Kernkraftwerk

Reliance Infrastructure erhielt 2018 den Auftrag für die Planung, das Engineering und den Bau wesentlicher Nebenanlagen (Balance of Plant, BOP) für die Blöcke 3 und 4. Da BOP-Systeme kritische unterstützende Versorgungseinrichtungen wie sekundäre Kühlkreisläufe, Notstromgeneratoren und Belüftungssysteme umfassen, verfügte der Dienstleister über hochdetaillierte physische und technische Pläne der strukturellen Aufteilung des Kraftwerks.

Diese Kompromittierung könnte einen „digitalen Zwilling“ für zukünftige Angriffe geschaffen haben

Die abgeflossenen Konstruktionszeichnungen, Projektdokumentationen, Inspektionsberichte, Herstellerinformationen und Dienstleisterdaten können verwendet werden, um ein präzises Modell der Umgebung zu erstellen.

Technische Dokumentationen können Folgendes offenlegen:

• physische Netzwerktopologie und -verbindungen,

• Gerätemodelle, Hersteller und Generationen,

• Lieferantenbeziehungen und Wartungszuständigkeiten,

• Redundanzarchitektur,

• kritische Abhängigkeiten zwischen Systemen,

• Beschaffungshistorie, die Aufschluss über Technologie-Aktualisierungszyklen gibt.

Einzeln betrachtet mögen diese Dokumente harmlos erscheinen. Zusammen ermöglichen sie es einem Angreifer jedoch, ein hochpräzises Verständnis der Umgebung zu rekonstruieren – gewissermaßen eine Form von Target Intelligence (Zielaufklärung).

Analyse des Bedrohungsakteurs

Profil: World Leaks

Der Angriff wurde von World Leaks, einem aktiven Daten-Erpresserkollektiv, für sich reklamiert.

Zuweisungssicherheit: Hoch

Cyber-Threat-Intelligence-Analysten stufen World Leaks als direktes Rebranding von Hunters International ein, einer russischsprachigen Ransomware-as-a-Service-Gruppe (RaaS), die Ende 2023 in Erscheinung trat. Es wurde weithin angenommen, dass Hunters International Code und Infrastruktur der aufgelösten Hive-Ransomware-Bande übernommen hatte. Nach Berichten über eine Schließung Ende 2024 aufgrund von Strafverfolgungsdruck ging die Gruppe im Januar 2025 unter dem Namen „World Leaks“ zu einem reinen Erpressungsmodell über.

Bekannte TTPs

• Initial Access: Primär opportunistisch. Ausnutzung bekannter Schwachstellen in öffentlich zugänglichen Appliances (wie VPNs, Firewalls) oder Nutzung kompromittierter, gültiger Zugangsdaten, wenn keine Multi-Faktor-Authentisierung (MFA) vorhanden oder diese fehlerhaft konfiguriert ist.

• Tooling: Verwendet ein maßgeschneidertes, automatisiertes Tool zur Datenexfiltration (abgeleitet vom Hilfsprogramm „Storage Software“ von Hunters), um wertvolle Zieldateien schnell zu lokalisieren und zu exfiltrieren.

• Evasion: Verschleiert schädliche Payloads (wie ihren charakteristischen SharpRhino RAT) in legitimen Nullsoft Scriptable Installers (NSIS), um standardmäßige Endpoint Detection and Response (EDR)-Signaturen zu umgehen.

• Exfiltration: Nutzt häufig Tools wie Rclone und WinSCP, um Gigabytes an Daten auf vom Akteur kontrollierte Cloud-Speicher zu exfiltrieren, bevor Erpresserforderungen gestellt werden.

Historische Kampagnen

World Leaks/Hunters International hat bereits große internationale Unternehmen in den Bereichen Gesundheitswesen, Fertigung und kritische Technologien angegriffen. Insbesondere kompromittierte die Gruppe im Juni 2026 den Apple-Zulieferer Tata Electronics und veröffentlichte 630 GB an Schaltplänen und Lieferkettenvereinbarungen.

Dieser Bedrohungsakteur hat ein starkes Interesse an indischen Mischkonzernen und Netzwerken entwickelt, die mit dortigen kritischen Infrastrukturen verbunden sind. Obwohl der Bedrohungsakteur die exfiltrierten Informationen bereits veröffentlicht hat, ist es möglich, dass er über Daten verfügt, die er an staatliche Akteure verkauft, welche genau diese Informationen missbrauchen könnten.     

Art der offengelegten Informationen

Das kompromittierte Datenpaket enthält Dokumentenkategorien, die zwar nicht als „staatliche Geheimnisse von militärischem Rang“ eingestuft sind, für Gegner jedoch einen immensen Aufklärungswert (Reconnaissance Value) besitzen:

• Engineering-Blaupausen: Insbesondere Detailpläne von Lüftungssystemen, sekundären Kühlleitungen und strukturellen Entwürfen für die Blöcke 3 und 4.

• Physische Layouts: Grundrisse der gemeinsamen Leitwarte und physische Sicherheitszutrittspunkte.

• Daten des Lieferanten-Ökosystems: Stammlisten von Lieferanten, Geräteprüfprotokolle und Beschaffungsbelege.

• Administrative Unterlagen: Versicherungspolicen, Inspektionsberichte und interne Besprechungsprotokolle.

Die Gefahr der Aggregation „nicht-sensibler“ Daten

Einzeln betrachtet mag eine Versicherungspolice oder ein Lüftungsschema harmlos erscheinen. In der Gesamtschau erleichtern sie jedoch die Erfassung von Architectural Intelligence (ARCINT):

Der Mosaik-Effekt: Ein Angreifer kann Lüftungsblaupausen mit Leitwartenlayouts und Lieferantenlisten übereinanderlegen. Dies ermöglicht es ihm, physische Schwachstellen zu identifizieren (z. B. Bereiche mit schwacher physischer Absicherung), Single-Point-of-Failure-Geräte zu lokalisieren, festzustellen, welche Hardware von Drittanbietern ausnutzbare Schwachstellen enthält, und gezielte Ingenieure mit hyperrealistischen Spear-Phishing-Kampagnen anzugreifen.

KI erhöht den Wert gestohlener Engineering-Archive

Noch vor fünf Jahren erforderte die Überprüfung von Hunderten von Gigabytes an technischen Dokumenten ganze Teams von Analysten und geschulten Fachkräften, um die Daten zu sortieren.

Heute können Large Language Models und graphbasierte Analysen in kürzester Zeit folgende Informationen extrahieren:

• Anlagenbestände (Asset Inventories),

• Lieferantenbeziehungen,

• Netzwerkreferenzen,

• technische Änderungshistorien,

• Wartungspläne

• und verborgene Abhängigkeiten über Tausende von Dateien hinweg.

Das Archiv wird in Stunden statt Wochen durchsuchbar, korreliert und abfragbar. Damit ist das Risiko, dass die Daten an Nutzen verlieren, drastisch gesunken. In diesem Zusammenhang hat sich der Wert von Engineering-Daten somit vervielfacht. Dies liegt nicht daran, dass die Dokumente inhaltsreicher oder leichter verständlich geworden sind, sondern daran, dass die Kosten (und der Zeitaufwand) für die Gewinnung von Erkenntnissen daraus massiv gesunken sind.

MITRE ATT&CK Mapping

Die folgenden Techniken sind auf der Grundlage der etablierten TTPs von World Leaks und den beobachteten technischen Merkmalen des Dienstleister-Vorfalls bei KKNPP zugeordnet:

Risikoanalyse für kritische Infrastrukturen (KRITIS)

Die Exfiltration von Designdateien birgt langfristige, systemische Risiken, die auch dann fortbestehen, wenn alle IT-Netzwerke erfolgreich bereinigt wurden:

Physische und Cyber-Angriffsplanung

Durch die Analyse von Lüftungs- und physischen Raumplänen kann ein böswilliger Akteur physische Ein- und Austrittsvektoren, tote Winkel in der Videoüberwachung (CCTV) und die genauen Standorte von Notstromgeneratoren identifizieren.

Manipulation der Lieferkette (Supply-Chain Poisoning)

Wie bereits erwähnt, ermöglicht die Offenlegung von Lieferantenverzeichnissen und spezifischen Komponentenmodellen staatlichen Akteuren, die Lieferkette zurückzuverfolgen. Sie können einen Zulieferer auf niedrigerer Ebene kompromittieren, um während der Bauphase der Blöcke 3 und 4 manipulierte oder mit Backdoors versehene Hardware/Firmware in die Anlage einzuschleusen.

Erstellung von Zielprofilen

Offengelegte Protokolle und Inspektionsberichte identifizieren wichtige Ingenieure, Sicherheitsbeauftragte und Entscheidungsträger. Diese Informationen bilden die Grundlage für hochgradig zielgerichtete Spear-Phishing- und Social-Engineering-Angriffe.

Wie und wann diese Daten als Waffe eingesetzt werden könnten, ist Gegenstand von Spekulationen.

Einzigartige und selten diskutierte Erkenntnisse

Dienstleister als die Achillesferse kritischer Infrastrukturen

Die Sicherung der administrativen IT-Sicherheitsgrenze einer nuklearen Anlage erfordert immense Investitionen, was zu hochgradig geschützten Systemen führt. Angreifer sind daher dazu übergegangen, Dienstleister (Engineering-Firmen, Bauunternehmen) ins Visier zu nehmen, deren Cyber-Abwehr oft deutlich schwächer ist, die jedoch über identische physische und architektonische Daten verfügen.

Der hohe Wert „passiver“ technischer Dokumentation

Im Gegensatz zu aktiven IT-Datenbanken ändern sich technische Blaupausen nach dem Bau einer Anlage nicht mehr. Während ein IT-Passwort in 5 Minuten geändert werden kann, lässt sich ein Lüftungssystem oder das Layout einer Betonwand nicht ohne Weiteres modifizieren. Somit hat der Abfluss von Designdokumentationen eine operative Halbwertszeit von 40 bis 60 Jahren (die Lebensdauer des Kernkraftwerks), was Gegnern einen zeitlich unbegrenzten strategischen Vorteil verschafft.

Dokumentation aus der Bauphase legt zukünftige operative Risiken offen

Da sich die Blöcke 3 und 4 noch im Bau befinden, offenbaren die durchgesickerten Dateien die Systeme, bevor sie vollständig aktiv sind. Dies gibt Gegnern Jahre Zeit, die Schaltpläne zu studieren, Konstruktionsfehler zu identifizieren, digitale Zwillinge zu erstellen und maßgeschneiderte Payloads zu entwickeln, noch bevor die Reaktoren ihr erstes Megawatt Strom erzeugen.

Warum solche Lecks in nuklearen Umgebungen schädlicher sind als Ransomware

Ein Ransomware-Angriff, der administrative Computer verschlüsselt, verursacht betriebliche Störungen, kann aber mithilfe von Backups behoben werden. Ein Datenleck hingegen ist dauerhaft. Sobald Konstruktionspläne öffentlich zugänglich sind, können sie nie wieder zurückgezogen werden, was die physische und logische Sicherheitslage der Anlage dauerhaft beeinträchtigt.

Erkenntnislücken

Um eine strikte analytische Integrität zu wahren, werden die folgenden Elemente von Shieldworkz aufgrund fehlender verifizierter, öffentlich zugänglicher forensischer Daten als unbekannt eingestuft:

• Vektor des Erstzugangs: Es ist unbestätigt, ob der Zugriff auf den von Yotta gehosteten Server über kompromittierte Zugangsdaten, eine Software-Schwachstelle oder eine Innentäterdrohung (Insider Threat) erfolgte.

• Persistenzmechanismen: Die spezifischen Registry-Änderungen oder geplanten Aufgaben (Scheduled Tasks), die von den Akteuren genutzt wurden, um den Zugriff vor der Entdeckung aufrechtzuerhalten, bleiben unter Verschluss.

• Laterale Bewegung: Es ist unbekannt, ob es den Bedrohungsakteuren gelungen ist, sich von der kompromittierten Yotta-Hosting-Umgebung in andere Unternehmensnetzwerke von Reliance vorzuarbeiten.

• Methode der Datenexfiltration: Das genaue Protokoll (z. B. HTTPS, SFTP) und die spezifischen Exfiltrationsprogramme, mit denen die 858.000 Dateien abgezogen wurden, sind forensisch nicht verifiziert.

Indicators of Compromise (IOCs)

Es wurden keine verifizierten, vorfallsspezifischen IOCs (wie exakte schädliche Dateihashes oder aktive C2-IPs) von Yotta, der Reliance Group oder dem CERT-In öffentlich bekannt gegeben. Die folgenden verhaltensbasierten und generischen World Leaks / Hunters International IOCs sollten jedoch überwacht werden:

Bekannte Dateisignaturen der Bedrohungsgruppe

• SharpRhino RAT Hash (SHA256): 9f8e7d... (Überwachung auf NSIS-Installer, die unübliche Netzwerkaufrufe durchführen).

• Exfiltration-Tools: Unautorisierte Ausführung von rclone.exe oder winscp.exe in Richtung öffentlicher Cloud-Anbieter.

Netzwerk-Indikatoren

• Verbindungen zu bekannten Darknet-Staging-Portalen von Hunters International / World Leaks.

Branchenspezifische Lehren

Kernkraftwerksbetreiber

• Zero-Trust-Zugriff für Konstruktionsdaten durchsetzen: Behandeln Sie alle dienstleisterseitigen Konstruktionsdaten als streng vertraulich. Schreiben Sie vor, dass der Zugriff auf Engineering-Dateien nur über sichere, überwachte Virtual Desktop Infrastructures (VDIs) erfolgt, die das Herunterladen oder Kopieren von Dateien auf externe Datenträger einschränken.

Versorgungsbetriebe und Stromnetz

• Administrative von operativen Repositories segmentieren: Lassen Sie niemals zu, dass technische Schaltpläne oder Netzwerklayouts in Standard-Verwaltungsnetzwerken oder unmonitored Cloud-Freigaben von Drittanbietern liegen.

Regierungsbehörden und CERTs

• Verpflichtende Dienstleister-Audits etablieren: Implementieren Sie strenge Cyber-Hygiene-Baselines und regelmäßige Sicherheitsaudits für alle privaten Dienstleister, die an Projekten der kritischen nationalen Infrastruktur beteiligt sind.

Engineering-Dienstleister

• Strikte Zugriffskontrolle vorschreiben: Implementieren Sie Multi-Faktor-Authentisierung (MFA) auf allen Endpunkten, insbesondere bei VPNs und Remote-Access-Gateways. Beschränken Sie den Zugriff auf Ordnerebene für sensible Projektschaltpläne ausschließlich auf diejenigen Mitarbeiter, die dem Projekt aktiv zugewiesen sind.

Erkennungsmöglichkeiten

SIEM und Log-Analyse

• Windows Event ID 4624: Überwachung auf erfolgreiche Anmeldungen an Remotediensten (Typ 10), die von unüblichen ISP-Blöcken oder außerhalb der regulären Arbeitszeiten ausgehen.

• Sysmon Event ID 1 (Prozesserstellung): Erkennung der Ausführung von Befehlszeilentools wie rclone mit Parametern, die externe Cloud-Speicheradressen enthalten (z. B. Mega, Dropbox, OneDrive).

Endpoint Detection and Response (EDR)

• Konfigurieren Sie EDR-Regeln so, dass die Ausführung von administrativen Hilfsprogrammen (wie PowerShell oder Eingabeaufforderung), die von Webservern oder Datenbankprozessen gestartet werden, gemeldet oder blockiert wird.

• Überwachung auf die Erstellung unerwarteter .exe-Dateien in den temporären Benutzerverzeichnissen (%TEMP% oder %APPDATA%), was typisch für in NSIS verpackte RATs ist.

Netzwerk- und OT-Überwachung

• Spitzen bei der Datenexfiltration: Alarmierung bei plötzlichen, hochvolumigen ausgehenden Datentransfers von Engineering-Workstations oder Dokumentenmanagementsystemen an externe IPs.

• OT-Netzwerksegmentierung: Durchführung regelmäßiger automatisierter Audits des Air-Gaps, der administrative IT-Netzwerke von industriellen Steuerungssystemnetzwerken (ICS) trennt, um sicherzustellen, dass keine Dual-Homed-Geräte eingeführt werden.

Strategische Empfehlungen

Um die unmittelbaren und systemischen Risiken dieser Kompromittierung zu mindern, sollten Organisationen den folgenden gestuften Fahrplan umsetzen:

Sofortige Eindämmung (0–48 Stunden): Notfall-Mitigation.

Überprüfung aller Verbindungen von Drittanbietern. Beenden Sie alle aktiven VPN- und Remote-Desktop-Sitzungen, die von der Reliance Group und damit verbundenen Subunternehmern ausgehen, bis deren Endpunkte als bereinigt verifiziert sind. Erzwingen Sie Passwort-Resets für alle gemeinsam genutzten Zugangsdaten.

Kurzfristige Behebung (1–4 Wochen): Auswirkungsanalyse & Engineering-Scans.

Führen Sie einen aktiven, forensischen Abgleich der 19.000 durchgesickerten Dateien durch, um die genauen offengelegten Systeme zu identifizieren. Führen Sie einen gezielten Schwachstellenscan aller in den durchgesickerten Beschaffungsdateien aufgeführten Drittanbietersoftwares und -geräte durch, um eine gezielte Ausnutzung zu verhindern.

Mittelfristige Härtung (1–3 Monate): Architektonische Schutzmaßnahmen.

Entwerfen Sie sensible sekundäre Infrastrukturen nach Möglichkeit neu oder passen Sie diese an (z. B. Änderung der physischen Leitungsführung der Notstromversorgung oder der Zutrittskontrollprotokolle), um die durchgesickerten Blaupausen unbrauchbar zu machen. Implementieren Sie eine strikte Multi-Faktor-Authentisierung (MFA) an allen Endpunkten von Dienstleisterportalen.

Langfristige Strategie (Ab 3 Monaten): Lifecycle-Management der Lieferkette.

Integrieren Sie Digital Rights Management (DRM) in alle sensiblen Konstruktionszeichnungen, um zu verfolgen und zu kontrollieren, wer diese anzeigen, drucken oder bearbeiten darf. Etablieren Sie ein Framework für Continuous Threat Exposure Management (CTEM), um die Cybersicherheitslage aller Drittanbieter von kritischen Infrastrukturen regelmäßig zu überprüfen.

Bewertung der Zuverlässigkeit

Die wichtigsten Bewertungen in diesem Bericht sind im Folgenden unter Verwendung der CISA/ODNI-Standards für analytische Zuverlässigkeit kategorisiert:

Der Kudankulam-Vorfall sollte nicht als „bloßes“ Datenleck oder gar als einfacher Vorfall in der Lieferkette betrachtet werden. Er muss als Kompromittierung einer technischen Wissensbasis verstanden werden. In kritischen Infrastrukturen sind technische Kenntnisse gleichbedeutend mit operativer Aufklärung. Im Gegensatz zu Zugangsdaten oder Schadsoftware veralten sie nach der Reaktion auf den Vorfall nicht, sondern können für Gegner über Jahre hinweg wertvoll bleiben. 

Empfohlene Lektüre

Deep Dive: Der Cyber-Vorfall bei Tata Electronics

Was die Cyber-Vorfälle bei Bajaj Auto und Tata Electronics über Industriespionage und Erpressung in der Fertigung aussagen

Vorbereitung der europäischen kritischen Infrastrukturen auf die nächste Phase russischer Cyber-Operationen

Cyber-Vorfall bei Nihon Kotsu: Analyse und Untersuchungsbericht

Sicherung des Betriebs kritischer Infrastrukturen während geopolitischer Ereignisse und darüber hinaus