Die CISA beschreibt die aktuelle Entwicklung als gezielte Kampagne gegen Wasserbetriebe unterschiedlicher Größe. In der Warnung heißt es, die Angreifer nähmen „Wassereinrichtungen jeder Größe“ ins Visier. Betreiber sollten deshalb öffentlich exponierte speicherprogrammierbare Steuerungen sowie weitere OT-Systeme unverzüglich vom Internet nehmen. PLCs bilden den Kern zahlreicher industrieller Abläufe.

Nach Angaben der Behörde ändern die Eindringlinge Passwörter, um Bedienpersonal auszusperren, und trennen PLCs vom Netz, indem sie deren IP-Adressen verändern. Laut CISA führte diese Aktivität bereits zu Abkochanordnungen für Trinkwasser und zu einem anhaltenden manuellen Betrieb der Anlagen.

Die staatliche IT-Behörde von Minnesota erklärte zu Wochenbeginn, dass „mehr als 30 kommunale Wassersysteme in Minnesota“ seit dem 26. Juli von einem koordinierten Cyberangriff betroffen gewesen seien. Mehrere Nachrichtenmedien berichteten, dass Ermittler auf Landes- und Bundesebene untersuchen, ob diese Störungen mit dem Iran zusammenhängen. Wired meldete zudem, ein Memo von WaterISAC habe die Angriffe mit dem Iran in Verbindung gebracht.

An der Reaktion arbeiten laut Bericht die CISA, das FBI und die Environmental Protection Agency. Das FBI teilte mit, dass „Versorgungsunternehmen in mindestens sieben Bundesstaaten“ dem Bureau Vorfälle mit PLCs gemeldet hätten.

Bereits in diesem Monat hatte die CISA frühere Warnungen aktualisiert, wonach industrielle Betriebstechnik mit böswilligen Aktivitäten in Verbindung mit dem Iran konfrontiert sei. In der Warnmeldung vom Donnerstag wird der Iran jedoch nicht erwähnt.

Besonders hebt die Behörde externe Verbindungen hervor, die in regulären Prüfungen womöglich übersehen werden. Auch Wasserorganisationen mit ausgereiften Cybersicherheitsprozessen sollten ihre externen Anschlüsse überprüfen, so die CISA. Das gelte ausdrücklich auch für Mobilfunkmodems, die von Betreibern, Anbietern oder Systemintegratoren installiert wurden und möglicherweise nicht dokumentiert sind oder nicht in routinemäßigen Scans der Angriffsfläche auftauchen.

Die CISA warnt, dass direkt aus dem Internet erreichbare OT-Anlagen ein erhöhtes Risiko für Verunstaltungen, Konfigurationsänderungen und Betriebsstörungen tragen. In schweren Fällen seien auch physische Schäden möglich. Präsident Donald Trump machte bei einer Kabinettssitzung in Camp David am Freitag die demokratisch geführte Regierung Minnesotas verantwortlich und sagte: „Der Iran hat größere Probleme, als sich um Minnesota zu kümmern.“