Neben Minnesota meldeten auch kommunale und lokale Wasserverantwortliche in Georgia, Michigan und South Dakota Angriffe, die mit der breiteren Kampagne in Zusammenhang zu stehen scheinen. In den vergangenen Tagen bestätigten zudem Gemeinden in Alabama und New Jersey vergleichbare Vorfälle.

CISA hatte in seinem aktualisierten Hinweis erklärt, dass Bedrohungsakteure PLC-Passwörter verändern, um Betreiber auszusperren. Außerdem würden PLCs durch Änderungen ihrer IP-Adressen abgekoppelt. Die Behörde forderte Betreiber, Eigentümer und Integratoren kritischer Infrastruktur damals auf, öffentlich erreichbare PLCs und andere OT-Systeme so schnell wie möglich aus dem Internet zu entfernen.

Dem war eine aktualisierte FBI-Warnung gefolgt, die auf einen Hinweis aus dem April Bezug nahm. Das FBI erklärte, iranische Akteure zielten auf PLCs in kritischer Infrastruktur von Rockwell Automation/Allen Bradley, Schneider Electric, Siemens und möglicherweise weiteren Herstellern.

Bislang gibt es nach öffentlichem Kenntnisstand keine Unterbrechung der Wasserversorgung. Dennoch blieb die Kampagne nicht folgenlos. In Minnesota wurden lokale Betreiber aus PLCs ausgesperrt; zugleich waren Sichtbarkeits- und Steuerungsfunktionen beeinträchtigt, sodass manuelle Behelfsverfahren nötig wurden. Angriffe in South Dakota und Michigan wirkten damit konsistent. Die bislang schwerwiegendste bekannte Auswirkung wurde aus Georgia gemeldet: Dort soll Cyberaktivität im Clayton County zu einem Abfall des Wasserdrucks geführt haben, woraufhin die Behörde eine Abkochanordnung für Wasser herausgab.

John Gallagher, Vizepräsident des auf OT- und IoT-Sicherheit spezialisierten Unternehmens Viakoo, sagte Dark Reading, industrielle Steuerungen wie PLCs seien historisch auf physische Isolation und Zuverlässigkeit ausgelegt worden, nicht auf eine Anbindung ans Internet. Deshalb fehlten vielen grundlegende, von Haus aus sichere Funktionen wie Multifaktor-Authentifizierung oder verschlüsselte Kommunikation. Wie viele OT- und IoT-Systeme verfügten sie zudem über eingebaute Netzwerkanbindung, die standardmäßig aktiviert sein könne, wenn sie bei der Installation nicht abgeschaltet werde. Verschärft werde das durch Wartung außerhalb klassischer IT-Prozesse: Außendiensttechniker und Drittintegratoren richteten laut Gallagher häufig Mobilfunkmodems, Satellitenverbindungen oder direkte Portweiterleitungen für die Fernwartung ein, ohne zentrale IT- oder OT-Teams zu informieren.

Markus Mueller, Field CISO bei Nozomi Networks, verwies ebenfalls auf strukturelle Schwächen der Branche. Es gebe rund 170.000 Trinkwasser- und Abwassersysteme, die meisten seien klein, dezentral organisiert und nutzten OT, die von Dritten installiert worden sei. Das Cyber-Bewusstsein und die Fähigkeiten seien in vielen dieser Versorger begrenzt; zugleich bestehe ein betrieblicher Bedarf, die Geräte zu vernetzen. Häufig fehle es aber an Finanzierung, Vorgaben oder Bewusstsein, um sie angemessen abzusichern.

Als möglicher Urheber gilt die pro-iranische hacktivistische Gruppe CyberAv3ngers, die laut CISA-Hinweisen aus 2023 und 2024 bereits zuvor US-Wasserinfrastruktur attackiert hatte. Forscher beschrieben die Gruppe in der Vergangenheit als opportunistisch und propagandistisch, mit eher niedrigschwelligen Angriffen zur Erzeugung öffentlicher Angst und medialer Aufmerksamkeit. Mehrere Sicherheitsfirmen und Forscher sehen Parallelen zwischen der aktuellen PLC-Kampagne und früheren Operationen, die den iranischen Revolutionsgarden oder der mit ihnen verbundenen Gruppe CyberAv3ngers zugeschrieben wurden. Eine öffentliche Zuschreibung der jüngsten Angriffe durch Bundesbehörden gibt es jedoch nicht.