Koordinierte Angriffe treffen OT-Systeme von mehr als 30 Wasserwerken in Minnesota

Nach Angaben von Minnesota IT Services (MNIT) richteten sich die Angriffe gegen OT-Systeme von mehr als 30 kommunalen Wasserversorgern. Betroffene Städte wie Maple Plain, Braham, South St. Paul und Plymouth veröffentlichten Erklärungen zu den Vorfällen. Darin ist von Auswirkungen auf „automatisierte Steuerungsfunktionen“ die Rede, während in der Mehrzahl der Fälle der Betrieb von Wasser- und Abwasseranlagen durch Ausweichverfahren aufrechterhalten werden konnte.

Braham meldete, das Wasserwerk nach Entdeckung des Cybersicherheitsvorfalls kurzzeitig vom Netz genommen zu haben, und forderte Einwohner auf, den Wasserverbrauch zu reduzieren. Nach Darstellung der Stadt schalteten die Angreifer die Betriebssteuerungen ab, was Brunnen und Wasseraufbereitungsanlage außer Betrieb setzte.

Plymouth erklärte, das Problem beschränke sich auf Geräte, die innerhalb des Systems über Mobilfunkkommunikation angebunden seien. Denis Calderone, Technikchef von Suzu Labs, verwies auf diese Angabe und sagte, Wassertürme, Hebeanlagen und Pumpstationen seien oft über Mobilfunkmodems mit dem SCADA-System verbunden. Solche sekundären oder alternativen Kommunikationsverbindungen würden bei Risiko- und Schwachstellenanalysen nach seiner Erfahrung häufig übersehen. Deshalb sei es nicht überraschend, dass der Angriffsweg über diese Mobilfunkverbindungen verlaufen sein könnte.

Calderone ergänzte, die Infrastruktur von SCADA- und industriellen Steuerungsnetzen werde häufig weitgehend vom Integrator aufgebaut, was die Wahrscheinlichkeit erhöhe, dass solche Verbindungen übersehen werden. Er verwies zudem auf Berichte, wonach der Stadtverwalter von Braham nun eine Neubewertung der Schwachstellenstudie für das System verlange.

Wer hinter den Angriffen steckt, ist bislang nicht bekannt. Die Vorfälle folgen kurz auf eine Warnung der US-Regierung an Betreiber kritischer Infrastrukturen vor mit Iran verbundenen Angriffen auf industrielle Steuerungssysteme von Siemens, Rockwell Automation und Schneider Electric. Im Artikel heißt es, Gruppen wie CyberAv3ngers und Handala würden zwar zum Profil der Angriffe auf die Wassersysteme in Minnesota passen. Ermittler hätten die Vorfälle jedoch keinem bestimmten Akteur zugeschrieben, und Behörden hätten betont, dass es keine formale Attribution gebe.

Harry Thomas, Mitgründer und Technikchef des OT-Sicherheitsunternehmens Frenos, sagte, bei Angriffen auf Wassersysteme denke er zunächst nicht an die Täterschaft, sondern an Betreiber und mögliche betriebliche Folgen. Im MITRE ATT&CK für ICS umfasse das Folgen wie den Ausfall oder Verlust der Sicht, den Ausfall oder Verlust der Kontrolle sowie die Manipulation von Sicht oder Steuerung. Ein physischer Prozess könne weiterlaufen, auch wenn Betreiber ihn nicht mehr sehen, beeinflussen oder den Bildschirmanzeigen nicht mehr vertrauen könnten.

Thomas betonte, diese Unterscheidungen seien wichtig. Ein Verlust der Sicht oder Kontrolle könne vorübergehend sein, ein anhaltender Ausfall aber manuelle Eingriffe oder manuellen Betrieb erforderlich machen. Manipulation sei noch gefährlicher, weil sich der Prozess in einem anderen Zustand befinden könne als dem, der dem Betreiber gemeldet werde. Von dort aus könne ein Vorfall zu Verfügbarkeitsverlust, Schutzverlust, Sicherheitsverlust oder physischen Schäden eskalieren.

Seemant Sehgal, Gründer und CEO von BreachLock, erklärte, die Ermittler müssten das gemeinsame Element der Angriffe auf die Wasserinfrastruktur in Minnesota identifizieren, weil dieselbe Schwachstelle „mit an Sicherheit grenzender Wahrscheinlichkeit auch in Wasserinfrastrukturen weit über Minnesota hinaus existiert“. Zudem verweist der Bericht darauf, dass bei den Angriffen auf Wasseranlagen in Israel im Jahr 2020 Akteure mit Verbindungen zur iranischen Regierung verwundbare Mobilfunkrouter als Einstiegspunkt ausnutzten.