US-Behörden weiten Warnung vor iranisch verknüpften OT-Angriffen auf weitere SPS-Hersteller aus

Die US-Regierung hat ihre Warnung vor Angriffen auf internetseitig erreichbare Betriebstechnik ausgebaut. Wie CISA in einer Mitteilung erklärte, erweitert die überarbeitete Fassung einer bereits im April veröffentlichten Warnung den Kreis der betroffenen Hersteller. Neben Rockwell Automation und Allen-Bradley nennen die Behörden nun auch Schneider Electric, Siemens und möglicherweise weitere Anbieter von speicherprogrammierbaren Steuerungen.

Im Zentrum stehen Angriffe auf speicherprogrammierbare Steuerungen, kurz SPS. Die Warnung beschreibt beobachtete Vorfälle mit „bösartigen Interaktionen mit Projektdateien und der Manipulation von Daten auf Anzeigen von Human Machine Interface und Supervisory Control and Data Acquisition“. Den Behörden zufolge führten die Angriffe bei betroffenen Organisationen zu Betriebsstörungen und finanziellen Verlusten.

SPS gelten als Kerntechnologie in kritischen Infrastrukturen und kommen etwa bei Energieversorgern, in der Abwasserbehandlung und in Fertigungsanlagen zum Einsatz. Gerade deshalb ist die Ausweitung auf Schneider Electric und Siemens relevant: Systeme beider Hersteller sind in den USA und darüber hinaus weit verbreitet.

CISA, das FBI und die Environmental Protection Agency erklärten, dass der Druck durch mit dem Iran verbundene Angreifer voraussichtlich anhalten werde. In der Mitteilung betont CISA außerdem, die Ausweitung auf zusätzliche Hersteller unterstreiche, wie wichtig es für Eigentümer und Betreiber von OT-Systemen sei, den direkten Zugriff aus dem Internet einzuschränken und SPS sicher bereitzustellen.

Konkrete Gruppen oder einzelne Angriffe nennt die behördliche Warnung nicht. Der Text verweist auch nicht auf bestimmte Kampagnen. Zugleich heißt es, die Zuordnung von Angriffen mit Bezug zur iranischen Regierung sei schwierig, weil das Regime nach Einschätzung von Forschern mitunter Ransomware-Gruppen oder andere Gruppen als Tarnung nutze.

Als Beispiel für diese Problematik wird auf Einschätzungen von Forschern verwiesen, wonach eine pro-iranische hacktivistische Gruppe, die eine Verkehrsgesellschaft in Los Angeles angegriffen hatte, tatsächlich ein Arm der iranischen Nachrichtendienste gewesen sei. Weitere technische Details zu den nun beobachteten OT-Vorfällen enthält die aktualisierte Warnung nicht.