CISA sieht im Wasser- und Abwassersektor eine wachsende Bedrohung für speicherprogrammierbare Steuerungen und andere OT-Komponenten. In einer am 30. Juli veröffentlichten Warnung fordert die Behörde Betreiber auf, öffentlich erreichbare Steuerungen vom Internet zu entfernen. Nach Beobachtungen von CISA ändern Angreifer Passwörter, um den Zugang für Betreiber zu blockieren, und manipulieren IP-Adressen, um PLCs abzukoppeln.
Die Dringlichkeit der Warnung wird durch die Vorfälle in Minnesota unterstrichen. Laut Minnesota IT Services wurden am 26. und 27. Juli OT-Systeme in mehr als 30 kommunalen Wassersystemen angegriffen. Wie SecurityWeek unter Berufung auf Erklärungen betroffener Städte berichtete, waren darunter Maple Plain, Braham, South St. Paul und Plymouth. Dort wurden demnach einige automatisierte Steuerungsfunktionen beeinträchtigt, während Notfallverfahren aktiviert wurden. In den meisten Fällen blieben Wasser- und Abwasserbetrieb funktionsfähig, und die Städte teilten mit, dass das Trinkwasser sicher geblieben sei.
Eine formale Zuschreibung gibt es bislang nicht. Staatliche und föderale Stellen untersuchen die Vorfälle noch. CISA weist aber darauf hin, dass der Zeitpunkt auffällt: Die Angriffe in Minnesota folgten kurz auf eine Warnung der US-Regierung vor iranisch verknüpften Angriffen auf industrielle Steuerungssysteme von Siemens, Rockwell Automation und Schneider Electric.
Diese Warnung wurde über ein Update vom 22. Juli zur Empfehlung AA26-097A verbreitet, die ursprünglich im April veröffentlicht worden war. Das Update erweiterte die Liste der betroffenen Hersteller über Allen-Bradley-Controller von Rockwell Automation hinaus auf Geräte von Schneider Electric und Siemens. Zugleich hieß es, dass auch PLCs anderer Hersteller gefährdet sein könnten. Ermittler beobachteten Aktivitäten gegen Rockwell CompactLogix und Micro850, Schneider Electric Modicon M340 sowie PLCs der Siemens-S7-1200-Serie.
Nach Darstellung des Quelltexts passen iranische Gruppen wie CyberAv3ngers und Handala grundsätzlich zum Profil solcher Angriffe auf Wassersysteme, auch wenn die Ermittler die Vorfälle in Minnesota keinem konkreten Akteur zugeschrieben haben. CyberAv3ngers habe bereits über längere Zeit kleine Wasserversorger und kommunale Einrichtungen ins Visier genommen. Zudem nutzten iranisch verknüpfte Akteure bei Angriffen auf Wasseranlagen in Israel im Jahr 2020 verwundbare Mobilfunkrouter als Einstiegsvektor.
CISA nennt drei unmittelbare Schutzmaßnahmen. Erstens sollen Betreiber PLCs vom Internet trennen und Fernzugriffe für betriebliche Zwecke über ein VPN oder ein Gateway führen statt direkt auf die Steuerung. Zweitens empfiehlt die Behörde Passwortschutz zu aktivieren und Standardpasswörter zu ändern. Drittens sollen IP-Adressen auf eine Zulassungsliste gesetzt werden, sodass Fernzugriffe nur von bekannten Engineering-Laptops oder anderen kritischen OT-Systemen erlaubt sind.
Zusätzlich rät CISA dazu, nach dem Trennen der PLCs eine bekannte saubere Sicherung des PLC-Abbilds vorzuhalten, falls Betreiber durch ein geändertes Passwort ausgesperrt werden. Für Besitzer von Rockwell Automation MicroLogix 1400 verweist die Behörde auf eine spezielle Anleitung von Rockwell zur Wiederherstellung des Zugangs bei unbekanntem Passwort. Darüber hinaus sollen Versorger die in AA26-097A aufgeführten Taktiken, Techniken und Kompromittierungsindikatoren prüfen, um aktuelle oder frühere Aktivitäten in ihren Netzwerken zu erkennen.