MNIT untersucht die Angriffe vom 26. und 27. Juli gemeinsam mit dem Department of Public Safety des Bundesstaats, dem Minnesota Department of Health, CISA, dem FBI, der US-Umweltschutzbehörde EPA und weiteren Beteiligten. Konkrete technische Details zu den Angriffen hat die Behörde bislang nicht veröffentlicht, also weder zu den betroffenen automatisierten Systemen noch zum genauen Vorgehen. CISA hatte Angreifer in diesem Zusammenhang zuvor so beschrieben, dass sie Projektdateien von SPS manipulieren und Daten verändern, die auf Mensch-Maschine-Schnittstellen sowie SCADA-Systemen angezeigt werden, um Zielumgebungen zu stören.

In Braham, rund 50 Meilen nördlich von Minneapolis, forderte die Stadt ihre Einwohner am 27. Juli auf, den Wasserverbrauch zu minimieren, weil das Wasserwerk „aus unbekanntem Grund“ offline sei. Bürgermeister Nate George erklärte einen Tag später, das Problem sei behoben worden, ohne dass es zu Unterbrechungen der Wasserversorgung gekommen sei. Maple Plain rief wegen des Cyberangriffs den lokalen Notstand aus, um Mittel zu koordinieren und Notfallmaßnahmen zu beschleunigen. Die Stadt erklärte, der Vorfall habe zwar bestimmte automatisierte Steuerungsfunktionen betroffen, etablierte Ausweichverfahren seien aber sofort umgesetzt worden, damit Wasser- und Abwasserbetrieb ohne Unterbrechung weiterlaufen konnten.

Ähnlich äußerten sich Verantwortliche in South St. Paul zu einem Cybervorfall mit automatisierten Steuerungen des städtischen Wassersystems. Auch dort hätten bestehende Notfallmaßnahmen den normalen Wasser- und Abwasserbetrieb sichergestellt. Die Stadt Plymouth meldete Kommunikationsstörungen an zwei Wassertürmen und mehreren Pumpstationen, betonte jedoch, dass Wasserqualität und Wasserstände unbeeinträchtigt geblieben seien.

Die Behörden in Minnesota haben die Angriffe keinem Akteur zugeschrieben. Scott Caveza, leitender Forschungsingenieur bei Tenable, sieht jedoch deutliche Hinweise auf das Cyber-Electronic Command der Islamischen Revolutionsgarde und CyberAv3ngers. Die Taktiken entsprächen den bekannten Fähigkeiten der Gruppe: die Ausnutzung internetseitig erreichbarer SPS und nativer Engineering-Software der Hersteller, um Authentifizierung zu umgehen und Projektdateien zu extrahieren. Auch der Zeitpunkt kurz nach der aktualisierten CISA-Warnung spreche für eine mögliche iranische Verbindung.

CISA hatte in der aktualisierten Warnung SPS von Rockwell Automation/Allen Bradley, Schneider Electric und Siemens ausdrücklich als für die Angreifer interessant genannt und zugleich gewarnt, dass jede öffentlich erreichbare SPS ein potenzielles Ziel sein könne. Sean Tufts, Außendienst-CTO von Claroty, hält zudem die fast gleichzeitige Betroffenheit von mehr als 30 Wassersystemen für bemerkenswert. Zwar würden Angreifer fortlaufend nach derselben exponierten Betriebstechnik in vielen Organisationen suchen, die geographische Ballung deute aber womöglich auf mehr als bloßen Zufall hin.

Als möglichen gemeinsamen Nenner nennt Tufts MicroLogix-Controller. Sie seien in kritischen Infrastrukturen weit verbreitet, weshalb die Angreifer wahrscheinlich breit nach internetseitig erreichbaren Geräten gesucht und in Minnesota eine Häufung gefunden hätten. Die Größenordnung werfe aber auch Fragen auf, ob die betroffenen Versorger ein gemeinsames IT-Rückgrat, denselben Integrator, einen gemeinsamen Fernzugangspfad oder eine andere Abhängigkeit auf Ökosystem-Ebene teilen.

Mehrere Experten verweisen auf strukturelle Schwächen im Sektor. Laut Tufts ist die Wasserwirtschaft anfällig für opportunistische Angriffe, weil ihre Cybervorbereitung uneinheitlich sei. Während Stromversorger fast 50 bundesrechtlich vorgeschriebene Präventivkontrollen umsetzen müssten, verlange der America’s Water Infrastructure Act von seinen Mitgliedern nur eine Risikobewertung. Denis Calderone, CTO von Suzu Labs, nennt als weitere Verschärfung die direkte Internetanbindung kritischer OT, etwa SPS über Mobilfunkmodems, Fernzugänge per TeamViewer oder AnyDesk sowie ungeschützte HMI-Webschnittstellen. Patrick Gillespie, Leiter der OT-Praxis bei GuidePoint Security, verweist auf die Größenordnung: In den USA gibt es mehr als 148.000 öffentliche Trinkwassersysteme; zusammen mit öffentlich betriebenen Abwasseranlagen steigt die Zahl auf 165.000 bis 170.000. Viele davon seien klein, ländlich oder kommunal betrieben und verfügten nur über begrenztes Personal, knappe Mittel und wenig spezialisierte OT-Expertise.