Im Mittelpunkt der laufenden Kampagne stehen laut FBI speicherprogrammierbare Steuerungen der Reihen MicroLogix 1100 und 1400 von Rockwell Automation beziehungsweise Allen-Bradley, sofern diese über das Internet erreichbar sind. In einer Cyberwarnung erklärte die Behörde, dass die Angreifer Gerätekonfigurationen aus der Ferne manipulierten, indem sie IP-Adressen änderten sowie Passwörter aktivierten und setzten. Das führe dazu, dass betroffene Einrichtungen die Sicht auf angeschlossene Anlagen und in manchen Fällen auch deren Funktion verlören.
Nach FBI-Angaben meldete mindestens eine Organisation veränderte SPS-Projektdateien, nachdem an mehreren Standorten Unstimmigkeiten in der Ladder-Logik aufgefallen waren. Zudem verwies die Behörde auf Ähnlichkeiten bei Netzwerkaufbauten, die von Drittanbietern bereitgestellt wurden. Solche Gemeinsamkeiten könnten den Angreifern helfen, ihre Erfolge bei weiteren Kunden zu vervielfachen, wenn dort dieselben verwundbaren Netzwerk- und Hardware-Konfigurationen vorliegen.
Zu den bislang bestätigten betroffenen Staaten zählt Georgia. Die Clayton County Water Authority erklärte, sie habe eine vorübergehende Störung erlebt, die Teile ihrer Betriebssysteme und der Wasserversorgung betroffen habe. Der Vorfall führte in einigen Gebieten zu vermindertem Wasserdruck, die Versorgung wurde jedoch innerhalb weniger Stunden wiederhergestellt.
Minnesota hatte als erster Bundesstaat Angriffe öffentlich gemacht: Dort wurden am 26. und 27. Juli mehr als 30 kommunale Wassersysteme ins Visier genommen. Michigan bestätigte ebenfalls offiziell, dass eine „kleine Zahl“ von Gemeinden bösartige Cyberaktivitäten festgestellt hat. Aus South Dakota wurde zudem aus mindestens einer Stadt ein Cyberangriff gemeldet, der offenbar zu derselben Kampagne gehört.
Andere Staaten tauchen bislang nur am Rand auf. Wisconsin wurde zwar in Berichten genannt, hat aber bislang keine Einbrüche bestätigt; Vertreter mehrerer großer Wasserversorger erklärten dort, nicht von Cyberangriffen betroffen zu sein. New York hat nicht mitgeteilt, ob der Staat betroffen ist, kündigte in dieser Woche aber mehr als 9 Millionen US-Dollar an Fördermitteln an, mit denen 153 Wassersysteme ihre Cybersicherheit verbessern sollen.
Ein in Utah gemeldeter Hackerangriff auf industrielle Steuerungssysteme in einer Anlage zur Entsorgung salzhaltiger Ölfeldabwässer gilt nach derzeitigem Stand nicht als Teil der aktuellen Kampagne. Dieser Einbruch wurde bereits im März entdeckt, neue Angriffe in Utah wurden bislang nicht gemeldet.
Offizielle Angaben dazu, wer hinter der Angriffswelle steckt, gibt es in den USA bisher nicht. Iran galt jedoch sofort als Hauptverdächtiger, weil iranische Hacker bereits zuvor ICS- und OT-Systeme angegriffen haben, darunter auch im Wassersektor. Bundesermittler sollen einer möglichen Beteiligung Irans nachgehen. Ein nicht öffentlicher Bericht von WaterISAC, der Informationsaustauschorganisation des Wassersektors, soll zudem Belege genannt haben, wonach die Angriffe mit früheren, Iran zugeschriebenen Kampagnen „übereinstimmen“.
CISA rief den Wassersektor dazu auf, OT-Systeme und insbesondere SPS zu schützen. Zusätzlich aktualisierten Bundesbehörden eine Warnung vom April zu iranischen Angriffen auf OT-Geräte und wiesen darauf hin, dass auch ICS-Geräte von Siemens, Schneider Electric und Rockwell Automation ins Visier genommen wurden. Censys berichtete außerdem, dass ungefähr 10.000 SPS von Rockwell, Siemens und Schneider im Internet erreichbar seien. Wie viele davon tatsächlich angreifbar sind, ist laut Bericht allerdings unklar. Infracritical hat derweil einen Bericht veröffentlicht, der die derzeit bekannten technischen Informationen für die OT-Sicherheitsgemeinschaft und Verteidiger zusammenfasst.