Die US-Cybersicherheitsbehörden haben eine detaillierte Warnung vor iranischen Hackergruppen veröffentlicht, die seit mindestens März 2026 gezielt Steuerungstechnik in kritischen Infrastrukturen angreifen. Im Fokus stehen speicherprogrammierbare Steuerungen (PLCs) der Firma Rockwell Automation und möglicherweise auch Geräte von Siemens. Die Angreifer manipulieren Projektdateien und greifen in die Benutzeroberflächen (HMI) und Prozessleitsysteme (SCADA) ein.
Die Anschläge treffen Ziele wie Kommunalbehörden, Wasser- und Abwasserbetriebe sowie Energieversorger. Ein prominentes Beispiel ist der Ransomware-Angriff auf eine Wasseraufbereitungsanlage in Minot, North Dakota. Während die Stadt den Vorfall zunächst als Ransomware-Attacke bezeichnete, bestätigen Ermittlungen jedoch, dass es bei der Attacke keine Lösegeldmitteilung gab – nur eine Nachricht auf dem Bildschirm. Das FBI untersucht diesen Fall sowie einen separaten Angriff auf eine Bezirksverwaltung in Indiana.
Besonders kritisch ist die Ausnutzung der Sicherheitslücke CVE-2021-22681 in Rockwell-Produkten. Die Cybersecurity and Infrastructure Security Agency (CISA) fordert alle US-Bundesbehörden auf, das Update bis zum 26. März einzuspielen. Fachleute warnen davor, dass die Angreifer ihre Systemzugriffe als Sprungbrett für tiefere Netzwerkpenetrationen nutzen könnten – mit dem Ziel, physische Schäden an Ausrüstungen anzurichten.
Die aktuelle Kampagne ähnelt iranischen Operationen von 2023 und 2024, die damals israelische SPS-Systeme von Unitronics zum Ziel hatten. US-Behörden offenbarten jetzt erstmals, dass bei dieser früheren Kampagne mindestens 75 Geräte kompromittiert wurden. Während diese Anschläge hauptsächlich zu Verunstaltungen führten, zeigen Analysen, dass die Akteure ihre Fähigkeiten kontinuierlich verbessern.
Rob Lee, CEO des Cybersecurity-Unternehmens Dragos, berichtet, dass die iranischen Akteure weiterhin Energieversorger, Öl- und Gasanlagen, Eisenbahnen und Wasserbetriebe ins Visier nehmen. Sie entwickeln zunehmend besseres Verständnis für Regelkreisläufe und physische Prozesse.
Das US-State Department hat 10 Millionen Dollar Belohnung für Informationen zu den Verantwortlichen ausgesetzt und sechs iranische Sicherheitsbeamte namentlich genannt, darunter Hamid Reza Lashgarian, Leiter der Cyber-Electronic Command (CEC) der Iranischen Revolutionsgarden.
Die Behörden empfehlen Organisationen dringend, SPS und andere Steuerungstechnik aus dem direkten Internetzugriff zu entfernen und Zugriffsprotokolle auf verdächtige Aktivitäten zu überprüfen.