Ausgangspunkt der öffentlich bekannten Angriffswelle war Minnesota. Dort wurden nach offiziellen Angaben operative Technologiesysteme in mehr als 30 Wasser- und Abwasseranlagen attackiert. Nur wenige Städte äußerten sich öffentlich dazu. Eine Kommune nahm ihr Wasserwerk kurzzeitig vom Netz, die meisten meldeten jedoch keine betrieblichen Auswirkungen und versicherten, dass das Trinkwasser sicher sei.
Inzwischen verdichten sich die Hinweise, dass die Kampagne mehrere Bundesstaaten umfasst. Michigan bestätigte offiziell, dass eine „kleine Zahl“ von Gemeinden bösartige Cyberaktivität festgestellt habe. Zugleich betonte der Bundesstaat, alle Systeme hätten sicher weiter funktioniert, und es habe keine Bedenken für die öffentliche Gesundheit gegeben.
Auch Rapid City in South Dakota meldete einen Vorfall. Nach Darstellung der Stadt betraf er eine Hebeanlage, die Teil des städtischen Abwassersystems ist. In einem Facebook-Beitrag erklärte die Stadt, die Wasser- und Abwasserinfrastruktur sei zu keinem Zeitpunkt gefährdet gewesen. Einwohnern wurde versichert, dass die Wasserversorgung sicher und geschützt geblieben sei.
ABC News berichtete zudem, dass Georgia zu den sieben betroffenen Bundesstaaten zählt. Welche weiteren Staaten betroffen sind, war zum Zeitpunkt der Veröffentlichung noch unklar.
Iran galt früh als Hauptverdächtiger, weil mit dem Land verbundene Hacker bereits zuvor ICS- und andere OT-Systeme angegriffen haben, auch im Wassersektor. Eine öffentliche Zuschreibung durch die US-Regierung liegt aber bislang nicht vor. Mehrere große Medien berichteten in der vergangenen Woche jedoch, dass Bundesermittler eine mögliche Beteiligung Irans geprüft hätten.
Hinzu kommt ein Bericht von WaterISAC, der Kommunikations- und Informationsaustauschorganisation des Wassersektors. Laut Berichten soll darin stehen, dass Minnesotas Fusion Center Belege gefunden habe, wonach die Angriffe mit Kampagnen „übereinstimmen“, die von den USA zuvor mit Iran in Verbindung gebracht worden waren. Wired erhielt nach eigenen Angaben eine Kopie des Berichts. WaterISAC wies jedoch darauf hin, dass das Dokument mit TLP:Amber gekennzeichnet gewesen sei und weder für die öffentliche Freigabe noch für eine breite Weitergabe bestimmt war.
Technische Details zu den Vorfällen bleiben bislang rar. Eine Stadt in Minnesota erklärte allerdings, der Vorfall habe sich auf „über Mobilfunkkommunikation angebundene Geräte“ beschränkt. Fachleute aus der Branche halten OT-Endpunkte, die über Mobilfunknetze mit dem Internet verbunden sind, für einen möglichen Angriffsvektor. Im Zusammenhang damit verweist der Bericht auf frühere Angriffe iranisch verknüpfter Hacker auf Wasseranlagen in Israel über verwundbare Mobilfunkrouter.
Für die OT-Sicherheitsgemeinschaft und Verteidiger stellt Infracritical einen fortlaufend aktualisierten Bericht mit den bislang bekannten technischen Informationen bereit. Nach Bekanntwerden der Angriffe in Minnesota forderte CISA den Sektor auf, OT-Systeme, insbesondere speicherprogrammierbare Steuerungen (PLCs), zu schützen.
Bereits wenige Tage vor den Angriffen in Minnesota hatten US-Bundesbehörden eine im April veröffentlichte Warnung zu iranischen Angriffen auf OT-Geräte aktualisiert. Darin hieß es, dass industrielle Kontrollsysteme von Siemens, Schneider Electric und Rockwell Automation attackiert worden seien. Die Internetsicherheitsfirma Censys berichtete zudem, dass rund 10.000 PLCs von Rockwell, Siemens und Schneider über das Internet erreichbar seien. Wie viele davon tatsächlich angreifbar sind, ist laut Censys unklar.