Een gecoördineerde cyberaanval gericht op meer dan 30 openbare watersystemen in Minnesota heeft geleid tot een grootschalige reactie van staats- en federale autoriteiten, waarbij onderzoekers onderzoeken of de operatie verband houdt met de aan Iran gelieerde hackergroep CyberAv3ngers. Functionarissen beschreven het incident als een van de meest significante cybercampagnes ooit gericht op de lokale waterinfrastructuur van de staat.
De aanvallen begonnen op 26 juli en troffen meerdere gemeenten, waaronder Plymouth, South St. Paul, Maple Plain en Braham. Hoewel functionarissen zeiden dat drinkwater gedurende het incident veilig bleef, ondervonden verschillende nutsbedrijven operationele verstoringen nadat aanvallers ongeoorloofde toegang kregen tot industriële controlesystemen.
In Braham zeiden lokale functionarissen dat een gemeentelijke put en een deel van de waterzuiveringsactiviteiten van de stad tijdelijk offline waren gehaald nadat het besturingssysteem op afstand was gemanipuleerd. De stroomstoring dwong bewoners om het waterverbruik tijdelijk te beperken terwijl nutsmedewerkers de dienst herstelden. Volgens lokale functionarissen bleef elektrische stroom beschikbaar, maar de geautomatiseerde controles die verantwoordelijk waren voor het beheer van de waterdistributie stopten met functioneren totdat het systeem weer operationeel werd gemaakt.
Andere getroffen gemeenschappen meldden delen van hun geautomatiseerde controle- en communicatiemogelijkheden te verliezen. Als gevolg hiervan schakelden de centrale-operators over op handmatige procedures om waterzuivering en distributie draaiende te houden, terwijl cyberbeveiligingsteams de schade beoordeelden en werkten aan het herstellen van normale operaties.
Minnesota IT Services (MNIT), dat cybersecurity coördineert voor staatsinstanties, said activeerde zijn incident response teams direct nadat de aanvallen waren gedetecteerd. De dienst werkt samen met het Minnesota Department of Public Safety, de FBI en andere federale en staatspartners om de inbraken te onderzoeken, nutsbedrijven te helpen herstellen en dreigingsinformatie te delen met mogelijk getroffen organisaties.
Hoewel functionarissen de aanvallen niet formeel hebben toegeschreven, zei MNIT dat de gebruikte methoden, de timing van de incidenten en het type infrastructuur die wordt aangepakt, lijken op eerdere campagnes tegen Amerikaanse kritieke infrastructuur met programmeerbare logische controllers (PLC’s). CyberAv3ngers, een hackersgroep die door Amerikaanse autoriteiten breed wordt gelinkt aan het Islamitische Revolutionaire Garde van Iran, heeft eerder de verantwoordelijkheid opgeëist voor aanvallen op water- en afvalwaterinstallaties in de Verenigde Staten en Israël.
Het incident volgt slechts enkele dagen nadat de Cybersecurity and Infrastructure Security Agency (CISA) en de FBI een eerdere waarschuwing hebben uitgebreid dat aan Iran gelieerde actoren blijven gericht zijn op internetverbonden operationele technologie die in kritieke infrastructuur wordt gebruikt. De bijgewerkte richtlijn breidde de lijst van potentieel gerichte PLC-fabrikanten uit buiten Rockwell Automation en omvatte Schneider Electric, Siemens en andere leveranciers.
Volgens CISA maken de aanvallers niet primair gebruik van nieuw geopenbaarde softwarekwetsbaarheden. In plaats daarvan krijgen ze toegang via internetblootgestelde PLC’s, zwakke beveiligingsconfiguraties en onvoldoende netwerksegmentatie voordat ze proberen industriële processen en toezichthoudende controlesystemen te manipuleren. Federale instanties hebben organisaties die kritieke infrastructuur exploiteren opgeroepen om PLC’s waar mogelijk los te koppelen van het openbare internet, authenticatiecontroles te versterken en industriële netwerken nauwlettend te monitoren op tekenen van ongeautoriseerde activiteiten, terwijl het onderzoek naar de aanvallen in Minnesota voortduurt.