CISA beschreibt die aktuelle Bedrohungslage als dringlich. Die Behörde verweist darauf, dass Angreifer gezielt internetseitig erreichbare OT-Komponenten ins Visier nehmen. Dazu zählen laut dem Bulletin nicht nur offen angebundene Steuerungen, sondern möglicherweise auch nicht dokumentierte Mobilfunkmodems, die von Betreibern, Herstellern oder Systemintegratoren installiert wurden.
Die Behörde nennt mehrere konkrete Auswirkungen der beobachteten Angriffe: Passwörter auf SPS werden geändert, sodass Betreiber den Zugriff verlieren, IP-Adressen werden angepasst, um Geräte vom Internet zu trennen, und weitere Veränderungen führen zu Betriebsstörungen. CISA warnt zudem, dass öffentlich erreichbare OT-Systeme Angriffen auf die Darstellung, Konfigurationsänderungen, Betriebsunterbrechungen und sogar physischen Schäden ausgesetzt sein können.
Ausgelöst wurde die Warnung durch Vorfälle in Minnesota. Minnesota IT Services teilte mit, den Cybersicherheits-Notfallplan des Bundesstaats aktiviert zu haben, nachdem eine „koordinierte Cyberattacke auf Betriebstechnik bei mehr als 30 kommunalen Wassersystemen in Minnesota“ festgestellt worden sei. Mehrere Kommunen meldeten demnach Störungen; Fehlfunktionen von Anlagen zwangen einige Versorger vorübergehend dazu, auf manuellen Betrieb umzustellen. MNIT hat nach eigenen Angaben Bedrohungsdaten aus den betroffenen Systemen weitergegeben sowie Hinweise und bewährte Verfahren bereitgestellt, um den betroffenen Versorgern bei der Wiederherstellung des Normalbetriebs zu helfen.
CISA empfiehlt, direkt aus dem Internet erreichbare OT-Anlagen sofort von dieser Anbindung zu trennen. Falls das nicht möglich ist, sollten laut Behörde ein VPN oder Gateway-Systeme für einen sicheren Zugriff eingesetzt werden. Zudem rät CISA dazu, Standardpasswörter zu ändern und den Zugriff auf eine Positivliste zulässiger IP-Adressen zu beschränken.
Speziell für Betreiber von Rockwell Automation MicroLogix 1400 verweist die Behörde auf Herstellerhinweise, wie sich der Zugriff wiederherstellen lässt, wenn Passwörter geändert wurden. Diese Modellreihe wird auch in einer ergänzenden Analyse von Censys hervorgehoben.
Die Cybersicherheitsfirma Censys beziffert in einem Blogeintrag die Internet-Exponierung entsprechender Systeme. Demnach sind derzeit mehr als 4.100 Hosts von Rockwell Automation beziehungsweise Allen-Bradley, 4.100 Siemens-Hosts und über 2.000 Hosts von Schneider Electric über das Internet erreichbar. Censys betont allerdings ausdrücklich, dass diese Erreichbarkeit nicht bedeutet, dass die Systeme zwangsläufig angegriffen oder kompromittiert wurden.
Zu den in der CISA-Warnung erwähnten MicroLogix-1400-Steuerungen merkt Censys an, dass viele offenbar Firmware-Versionen einsetzen, deren Vertrieb eingestellt wurde. Außerdem unterstreicht das Unternehmen das Problem nicht dokumentierter Mobilfunkmodems als typischen blinden Fleck: Nahezu die Hälfte der exponierten Rockwell-Geräte sei über Netze von Verizon Business, AT&T, T-Mobile, Comcast, Charter und Starlink erreichbar. Ergänzend stellte Censys einen erweiterten Satz von Kompromittierungsindikatoren sowie Hinweise für die Bedrohungssuche bereit.