MNIT untersucht die Angriffe gemeinsam mit Partnern auf Bundes-, Landes-, kommunaler, Tribal- und privatwirtschaftlicher Ebene. Ziel ist es nach Behördenangaben, den Vorfall aufzuklären und die Sicherheit der kritischen Infrastruktur Minnesotas zu stärken.
Wie MNIT mitteilte, bewerten die Cybersicherheitsteams derzeit die Auswirkungen der Angriffe, geben Lageinformationen zu Bedrohungen weiter und unterstützen betroffene Versorger bei Eindämmung, Untersuchung und Behebung der Schäden. Zugleich stellte die Behörde klar, dass ihr keine Aufforderungen von Städten in Minnesota bekannt seien, wonach Einwohner ihr Trinkwasserverhalten ändern sollten.
Der bislang am besten dokumentierte Einzelfall betrifft Braham. Die Stadt hatte zunächst nur einen ungeklärten Ausfall des Wasserwerks gemeldet. Rund drei Stunden später folgte die Entwarnung: Die Anlage war wieder in Betrieb, die Wasseraufbereitung lief wieder regulär. Anschließend erklärten Stadtvertreter, die Unterbrechung sei durch einen bösartigen Cyberangriff auf computergestützte Betriebssysteme verursacht worden.
Lokalen Medien zufolge blieb es nicht bei diesem einen Fall. Andere Gemeinden berichteten seit Sonntag von vorübergehenden Fehlfunktionen an Geräten. Um den normalen Betrieb aufrechtzuerhalten, stellten sie auf manuelle Abläufe um oder griffen auf Notfallmaßnahmen zurück.
Parallel veröffentlichte die U.S. Cybersecurity and Infrastructure Security Agency (CISA) neue Empfehlungen für Betreiber kritischer Infrastruktur. In dem Dokument „CI Fortify – Hinweise zur Isolierung lebenswichtiger Systeme“, das gemeinsam mit dem Australian Cyber Security Centre (ACSC) des Australian Signals Directorate, dem FBI und internationalen Partnern erstellt wurde, rät die Behörde dazu, zentrale OT-Systeme zu isolieren. Das solle die Kontinuität kritischer Dienste im Fall eines Cyberangriffs sichern.
Wer hinter den Angriffen auf die Wassersysteme in Minnesota steckt, ist weiterhin unklar. Die beteiligten Behörden verweisen jedoch darauf, dass kritische Infrastruktur häufig von staatlich unterstützten Hackern angegriffen wird – entweder zur Spionage oder als Vorbereitung auf störende und zerstörerische Aktivitäten in Krisen- oder Konfliktlagen.
In diesem Zusammenhang erinnert der Quelltext an frühere Warnungen der USA zu iranischen Hackern, die speicherprogrammierbare Steuerungen in Organisationen der kritischen Infrastruktur ins Visier genommen haben sollen. Eine gemeinsame Warnung mehrerer US-Behörden aus dem April erklärte, mit Iran verbundene Cyberakteure hätten seit März offen erreichbare Rockwell-Automation-/Allen-Bradley-PLC-Geräte ausgenutzt. Diese Aktivitäten störten den Betrieb und verursachten finanzielle Verluste in mehreren Sektoren, darunter staatliche Dienste und Einrichtungen, Wasser- und Abwassersysteme sowie der Energiesektor.