Das FBI hat gewarnt, dass Cyberangriffe, die öffentliche Wasser- und Abwasserversorgungsunternehmen betreffen, Gemeinden in mindestens sieben US-Bundesstaaten betreffen, was darauf hindeutet, dass eine jüngste Welle von Vorfällen weit über die in Minnesota gemeldeten koordinierten Angriffe hinausgeht. Bundesbehörden sagen, die Kampagne habe die Operationen an mehreren Anlagen gestört und konzentriert sich auf internetverbundene industrielle Steuerungsanlagen.
Die gemeinsam mit der US-Umweltschutzbehörde (EPA) ausgegebene Warnung folgt auf Berichte, dass mehr als 30 Wasserversorger in Minnesota ab Ende Juli Cybervorfälle erlebten. Obwohl das FBI die betroffenen Bundesstaaten nicht identifizierte oder die Aktivitäten formell einem bestimmten Bedrohungsakteur zuschrieb, stimmt die Warnung mit den jüngsten Richtlinien der Cybersecurity and Infrastructure Security Agency (CISA) überein, die ähnliche Angriffe mit CyberAv3ngers, einer Hackergruppe, in Verbindung bringt, die US-Behörden zuvor mit dem iranischen Islamischen Revolutionsgarden (IRGC) in Verbindung gebracht haben.
Laut FBI begannen die Versorgungsunternehmen am 27. Juli mit der Meldung von Vorfällen, wobei mehrere Organisationen Störungen erlebten, nachdem Angreifer internetbasierte programmierbare Steuerungen (SPS) ins Visier genommen hatten. Diese Geräte automatisieren industrielle Prozesse und werden weit verbreitet zur Steuerung von Wasseraufbereitungs- und Verteilungssystemen eingesetzt.
Bundesermittler berichteten, dass einige Angreifer SPS-Passwörter und Netzwerkeinstellungen änderten, sodass Betreiber Geräte aus der Ferne verwalten konnten und die Versorgungsunternehmen zu manuellen Betrieb umstellten. In mindestens einem gemeldeten Fall fanden die Ermittler unautorisierte Änderungen an SPS-Projektdateien, nachdem sie Diskrepanzen in der Leiterlogik, der Programmiersprache, die häufig zur Steuerung industrieller Automatisierungssysteme verwendet wird, festgestellt hatten.
Die betrieblichen Auswirkungen variierten je nach Versorgungsunternehmen unterschiedlich. In Minnesota meldeten lokale Behörden nach den Angriffen vorübergehende Kommunikationsausfälle, Druckverluste und Überschwemmungen in einigen Anlagen. In Braham sagten kommunale Beamte, dass Angreifer Steuerungen, die mit einem städtischen Brunnen verbunden waren, aus der Ferne deaktivierten und so vorübergehend den normalen Betrieb unterbrachen, bis das Personal das System wiederherstellte. Das FBI warnte, dass Druckverluste in Wasserverteilungssystemen das Risiko erhöhen können, dass unbehandeltes Grundwasser in Pipelines gelangt.
Die Empfehlung betont, dass kleinere Versorgungsunternehmen besonders anfällig bleiben, da viele weiterhin ältere industrielle Steuerungssysteme betreiben, die direkt über das Internet zugänglich sind und oft über begrenzte Cybersicherheitsressourcen verfügen.
Um das Risiko einer Kompromittierung zu verringern, forderten FBI und EPA die Betreiber auf, internetorientierte SPCs wann immer möglich zu trennen, Standardpasswörter zu ersetzen, den Netzwerkzugang zu Steuerungssystemen einzuschränken, die Möglichkeit, Anlagen manuell zu betreiben, aufrechtzuerhalten und SPS-Programme regelmäßig auf unautorisierte Änderungen zu überprüfen. Die Behörden empfehlen außerdem, den Austausch alternder Geräte zu planen, die keine Sicherheitsupdates mehr erhalten.
Die Warnung folgt auf eine aktualisierte CISA-Warnung, die im Juli veröffentlicht wurde und die Liste der industriellen Steuerungsgeräte erweiterte, die in jüngsten Kampagnen als Ziel galten. Neben zuvor identifizierten Unitronics-Controllern teilte die Behörde mit, dass Angreifer auch Interesse an Geräten gezeigt haben, die von Rockwell Automation, Schneider Electric und Siemens hergestellt werden. CISA hat erklärt, dass die beobachteten Eindringlinge in erster Linie internetexponierte Geräte und schwache Sicherheitskonfigurationen ausnutzen und nicht auf neu entdeckte Softwarelücken.
Das FBI teilte mit, dass die Untersuchung der mehrstaatlichen Kampagne weiterhin andauert, während die Bundesbehörden weiterhin mit den betroffenen Versorgungsunternehmen zusammenarbeiten, um das volle Ausmaß der Angriffe zu bewerten und den Schutz kritischer Wasserinfrastruktur zu stärken.