Forescout verknüpft seine Auswertung mit einer laufenden Serie von Vorfällen in US-Wasser- und Abwasserbetrieben. Das FBI und die EPA schrieben in einer öffentlichen Mitteilung vom 30. Juli, dass Versorger in mindestens sieben Bundesstaaten seit dem 27. Juli Vorfälle gemeldet haben. The Hacker News berichtete am 6. August, dass laut einem Forescout-Beitrag die Mitteilung mindestens zwölf Bundesstaaten bestätige, während auf der FBI-Seite von sieben die Rede ist. Eine Zuschreibung der Kampagne an einen bestimmten Akteur gibt es von keiner Behörde.

Im Zentrum der Analyse stehen offen erreichbare EtherNet/IP-Dienste auf Port 44818. Laut Forescout entsteht dadurch ein nicht authentifizierter Zugriffsweg, über den sich – abhängig von der Gerätekonfiguration – ein Controller identifizieren oder Einstellungen darauf schreiben lassen. Nach Einschätzung der Forscher reichen solche Möglichkeiten aus, um die bislang öffentlich beschriebenen Effekte zu verursachen, ohne eine Schwachstelle auszunutzen: Angreifer könnten IP-Adressen ändern und Passwörter auf bereits erreichbaren Steuerungen setzen, wodurch Betreiber die Sichtbarkeit und in manchen Fällen die Steuerung angeschlossener Anlagen verlieren.

Die Größenordnung der Exposition fällt erheblich aus. Forescouts Scan vom 3. August ergab 4.407 offen erreichbare Rockwell-Controller weltweit. Davon entfielen 2.844 auf die USA. Mehr als 70 Prozent der in den USA gefundenen Geräte hingen laut Forescout in großen Mobilfunknetzen. Ein Schnappschuss von Censys vom 30. Juli kam auf 4.148 exponierte Rockwell-/Allen-Bradley-EtherNet/IP-Hosts; Verizon Business, AT&T Mobility und T-Mobile USA machten dabei 59 Prozent aus. Beide Erhebungen liegen zwar über 4.100 Hosts, sind wegen unterschiedlicher Plattformen, Suchabfragen und Zeitpunkte aber nicht direkt vergleichbar.

Forescouts historische Werte zeigen einen Rückgang gegenüber früheren Spitzen, aber kein kleines Problem: Der bisherige Tiefstand der Reihe lag im Juni 2026 bei 4.169 und damit 47 Prozent unter 7.814 im März 2020. Der jüngste Stand vom 3. August lag wieder bei 4.407. Besonders häufig waren MicroLogix-Modelle vertreten: MicroLogix 1400 machten 50 Prozent der Funde aus, MicroLogix 1100 weitere 8 Prozent. Beide Familien wurden auch von FBI und EPA ausdrücklich genannt.

Für 19 der 22 in betroffenen Städten identifizierten Controller nennt Forescout zudem eine anfällige Firmware für CVE-2017-16740, der von Rockwell mit einem CVSS-Wert von 8,6 bewertet wird. Dabei handelt es sich um einen Modbus-TCP-Pufferüberlauf in MicroLogix 1400 Series B und C mit Firmware 21.002 und älter; behoben wurde das Problem in Revision 21.003. Voraussetzung für eine Ausnutzung ist allerdings, dass Modbus TCP aktiviert ist. Genau das konnte Forescout bei den gefundenen Hosts nicht verifizieren.

Rockwell hat den MicroLogix 1100 bereits am 30. April 2022 abgekündigt. Für Betreiber, die durch ein von Angreifern gesetztes Passwort ausgesperrt wurden, verweist Advisory SD1790 auf einen Wiederherstellungsweg: Ein MicroLogix 1400 oder 1100 lässt sich auf Werkseinstellungen zurücksetzen und anschließend mit einer als vertrauenswürdig bekannten Projektdatei neu bespielen. Das Dokument trägt keine CVE-Nummer, weil es laut Rockwell um Wiederherstellungshinweise und nicht um die Offenlegung einer Schwachstelle geht.

Diese Wiederherstellung setzt allerdings eine aktuelle Offline-Kopie der Steuerungslogik voraus. Das FBI erklärte, mindestens ein Betroffener habe nach dem Auffinden von Abweichungen in der Kontaktplanlogik an mehreren Standorten veränderte PLC-Projektdateien entdeckt. Zudem warnte die Behörde, dass ähnliche Netzarchitekturen von Drittanbietern erfolgreiche Kompromittierungen bei Kunden mit denselben verwundbaren Konfigurationen wiederholbar machen könnten.