Die aktualisierte Warnung der US-Bundesbehörden konkretisiert, welche Hersteller und Systeme bei den iranisch verknüpften Angriffen auf ICS- und OT-Umgebungen im Fokus stehen. Während in der ersten Fassung aus dem frühen April Rockwell Automation und dessen Allen-Bradley-Geräte genannt wurden, führt die am 22. Juli veröffentlichte Überarbeitung nun auch Schneider Electric und Siemens auf. Zugleich heißt es, dass auch Geräte anderer Unternehmen betroffen sein könnten.
Nach Angaben der Behörden sind den Ermittlern Angriffe auf Rockwell Automation CompactLogix und Micro850, Schneider Electric Modicon M340 (BMX P34) sowie PLCs der Siemens-S7-1200-Serie bekannt. Die Angriffe richteten sich gegen die Ports 44818, 2222, 102, 502 und 22. Die Hacker verbanden sich über die Programmier-Software der Hersteller mit den verwundbaren PLCs und nutzten dafür angemietete, von Dritten gehostete Infrastruktur.
Zu der von den APT-Akteuren missbrauchten Konfigurationssoftware zählen laut Warnung Rockwell Automation Studio 5000 Logix Designer, Schneider Electric EcoStruxure Control Expert und Siemens TIA Portal. In einem US-Fall entdeckten FBI-Ermittler, dass der Angreifer mit solcher Software eine bösartige Projektdatei auf eine PLC heruntergeladen hatte. Die Analyse zeigte demnach, dass die Datei die Leiterlogik für nachgelagerte Funktionen beibehielt, aber zusätzliche Logik einfügte, die spezifische Befehlssätze zur Einhaltung sicherer Betriebsparameter im Umfeld des Opfers überschrieb.
Die aktualisierte Warnung beschreibt zudem das weitere Vorgehen der Angreifer. Demnach extrahierten und exfiltrierten sie PLC-Projektdateien, änderten deren Logik und löschten Teile davon. Zusätzlich fügten sie Add-on-Instruktionen ein und manipulierten Daten auf HMI- und SCADA-Anzeigen. Laut der Mitteilung deaktivierten diese Änderungen außerdem kritische Abschalt- und Alarmlogik, sodass Systeme unsichere Zustände erreichen konnten, ohne dass Bediener über Anomalien informiert wurden.
Die Behörden haben die Warnung auch um neue Hinweise zur Erkennung bösartiger Aktivitäten sowie um aktualisierte Kompromittierungsindikatoren ergänzt. Bereits in der ersten Fassung hatten sie erklärt, iranische Hacker hätten störende Angriffe auf OT-Geräte bei Organisationen in den Sektoren staatliche Dienstleistungen und Einrichtungen, Energie sowie Wasser und Abwasser durchgeführt.
Wie der Text weiter ausführt, setzt die iranische Regierung bei vielen Angriffen auf ICS und OT auf hacktivistische Tarnidentitäten. Die Gruppe CyberAv3ngers hatte in den vergangenen Jahren mit Angriffen auf solche Systeme wiederholt Schlagzeilen gemacht. In diesem Jahr sei Handala in den Vordergrund getreten, beginnend mit einem stark störenden Angriff auf den US-Medizintechnikkonzern Stryker.
Im vergangenen Monat behauptete Handala zudem, nach einem Eindringen in Systeme der California Water Service die Wasserversorgung hätte stören können. Die Erklärungen der Hacker deuteten auf tiefen Zugriff auf ICS hin, Cal Water teilte jedoch mit, keine Hinweise auf Aktivitäten in seiner OT-Umgebung gefunden zu haben.