Ein koordinierter Cyberangriff, der mehr als 30 öffentliche Wassersysteme in Minnesota ins Visier nahm, hat eine groß angelegte Reaktion von staatlichen und bundesstaatlichen Behörden ausgelöst, wobei Ermittler prüfen, ob die Operation mit der Iran-nahen Hackergruppe CyberAv3ngers in Verbindung steht. Beamte beschrieben den Vorfall als eine der bedeutendsten Cyber-Kampagnen, die je gegen die lokale Wasserinfrastruktur des Bundesstaates gerichtet waren.
Die Angriffe begannen am 26. Juli und betrafen mehrere Gemeinden, darunter Plymouth, South St. Paul, Maple Plain und Braham. Während Beamte sagten, das Trinkwasser sei während des Vorfalls sicher geblieben, erlebten mehrere Versorgungsunternehmen Betriebsstörungen, nachdem Angreifer unbefugten Zugang zu industriellen Kontrollsystemen erhielten.
In Braham sagten lokale Beamte, dass ein kommunaler Brunnen und ein Teil der städtischen Wasseraufbereitungsanlagen vorübergehend außer Betrieb genommen wurden, nachdem das Steuerungssystem aus der Ferne manipuliert worden war. Der Stromausfall zwang die Bewohner, den Wasserverbrauch kurzzeitig zu begrenzen, während die Versorgungsarbeiter den Strom wiederherstellten. Laut lokalen Behörden blieb Strom verfügbar, aber die automatisierten Steuerungen, die für die Wasserverteilung zuständig waren, funktionierten nicht, bis das System wieder in Betrieb genommen wurde.
Andere betroffene Gemeinden berichteten, dass sie Teile ihrer automatisierten Kontroll- und Kommunikationsfähigkeiten verloren haben. Infolgedessen wechselten die Anlagenbetreiber zu manuellen Verfahren, um die Wasseraufbereitung und -verteilung am Laufen zu halten, während die Cybersicherheitsteams den Schaden bewerteten und daran arbeiteten, den normalen Betrieb wiederherzustellen.
Minnesota IT Services (MNIT), das die Cybersicherheit für staatliche Behörden koordiniert, said aktivierte seine Einsatzteams unmittelbar nach der Entdeckung der Angriffe. Die Behörde arbeitet gemeinsam mit dem Minnesota Department of Public Safety, dem FBI und anderen bundesstaatlichen und staatlichen Partnern zusammen, um die Eingriffe zu untersuchen, Versorgungsunternehmen bei der Wiederherstellung zu unterstützen und Bedrohungsinformationen mit potenziell betroffenen Organisationen zu teilen.
Obwohl die Behörden die Angriffe nicht formell zugeschrieben haben, sagte MNIT, dass die verwendeten Methoden, der Zeitpunkt der Vorfälle und die Art der angegriffenen Infrastruktur früheren Kampagnen gegen US-kritische Infrastrukturen mit programmierbaren Logiksteuerungen (SPS) ähneln. CyberAv3ngers, eine Hackergruppe, die von den US-Behörden weitgehend mit der Islamischen Revolutionsgarde Irans in Verbindung gebracht wird, hat zuvor die Verantwortung für Angriffe auf Wasser- und Abwasseranlagen in den Vereinigten Staaten und Israel übernommen.
Der Vorfall ereignet sich nur wenige Tage, nachdem die Cybersecurity and Infrastructure Security Agency (CISA) und das FBI eine frühere Warnung erweitert hatten, dass iranisch verbundene Akteure weiterhin internetverbundene operative Technologien in kritischer Infrastruktur ins Visier nehmen. Die aktualisierten Leitlinien erweiterten die Liste potenziell gezielter SPS-Hersteller über Rockwell Automation hinaus um Schneider Electric, Siemens und weitere Anbieter.
Laut CISA nutzen die Angreifer nicht in erster Linie neu offengelegte Softwarelücken aus. Stattdessen erhalten sie Zugang über internetfähige SPS, schwache Sicherheitskonfigurationen und unzureichende Netzwerksegmentierung, bevor sie versuchen, industrielle Prozesse und Überwachungssysteme zu manipulieren. Bundesbehörden haben Organisationen, die kritische Infrastruktur betreiben, aufgefordert, SPS wo immer möglich vom öffentlichen Internet abzukoppeln, die Authentifizierungskontrollen zu verstärken und industrielle Netzwerke genau auf Anzeichen unautorisierter Aktivitäten zu überwachen, während die Ermittlungen zu den Anschlägen in Minnesota andauern.