Iranische Hacker greifen 30 Wasserversorgungssysteme in Minnesota an

Mit dem Iran in Verbindung stehende Hacker haben nach Angaben staatlicher Behörden bei einem koordinierten Cyberangriff mehr als 30 öffentliche Wasserversorgungssysteme in Minnesota ins Visier genommen. Die Vorfälle störten automatisierte Abläufe bei mehreren Versorgungsunternehmen und zwangen einige Mitarbeiter, auf manuelle Steuerung umzuschalten.

Minnesota IT Services teilte mit, dass die zweitägige Kampagne am 26. Juli begann. Die Behörden haben die Angriffe bislang keiner bestimmten Gruppe offiziell zugeschrieben. Die Aktivitäten weisen jedoch Berichten zufolge Ähnlichkeiten mit früheren Operationen der mit dem Iran verbundenen Gruppe CyberAv3ngers auf.

Wassersysteme auf manuellen Betrieb umgestellt

Die Angriffe betrafen Wasserversorger im gesamten Bundesstaat, darunter Plymouth, South St. Paul, Maple Plain und Braham. In mindestens einer Gemeinde wurden ein Brunnen und eine Wasseraufbereitungsanlage vorübergehend außer Betrieb genommen.

Andere betroffene Gemeinden verzeichneten Kommunikationsprobleme und Störungen automatisierter Steuerungssysteme. Mitarbeiter der Versorgungsunternehmen nutzten manuelle Verfahren, während Techniker den normalen Betrieb wiederherstellten.

Nach Angaben der Behörden blieb das Trinkwasser in den betroffenen Gemeinden sicher. Keine Stadt forderte ihre Einwohner aufgrund des Cyberangriffs dazu auf, ihren Wasserverbrauch zu ändern.

Minnesota IT Services aktivierte nach der Entdeckung der Aktivitäten seine Incident-Response-Maßnahmen. Die Behörde arbeitet mit dem Minnesota Department of Public Safety, dem FBI sowie weiteren staatlichen und bundesstaatlichen Partnern zusammen, um die Angriffe zu untersuchen und betroffene Gemeinden zu unterstützen.

Angreifer zielten auf industrielle Steuerungssysteme

Die Kampagne scheint sich auf speicherprogrammierbare Steuerungen, sogenannte PLCs, konzentriert zu haben. Diese Geräte automatisieren kritische Prozesse bei der Wasseraufbereitung und -verteilung.

Ein Sprecher von Minnesota IT Services erklärte, dass Zeitpunkt, Zugriffsmethoden und die angegriffene Infrastruktur früheren koordinierten Angriffen auf kritische Infrastruktur in den USA ähnelten.

Die Ermittler bezeichneten die Vorfälle als Angriffe, da sie unbefugten Zugriff mit böswilliger Absicht festgestellt hatten. Die Behörden haben jedoch nicht öffentlich bestätigt, welche Gruppe verantwortlich ist.

CyberAv3ngers, auch bekannt als Shahid Kaveh, wird weithin mit den iranischen Revolutionsgarden in Verbindung gebracht. Die Gruppe hat bereits in der Vergangenheit Wasser- und Abwasseranlagen in den USA angegriffen.

CyberAv3ngers griff bereits Wasserinfrastruktur an

Im November 2023 griff CyberAv3ngers Geräte mit Unitronics-PLC-Steuerungen bei einem kommunalen Wasserversorger in Pennsylvania an. Die Angreifer nutzten ein mit dem Internet verbundenes Gerät aus, das weiterhin die standardmäßigen Zugangsdaten verwendete.

Die Gruppe erklärte, sie habe die Geräte ausgewählt, weil die zu deren Betrieb verwendete Software aus Israel stammte. Der Vorfall führte zu Warnungen an Betreiber von Wasser- und Abwassersystemen, Standardpasswörter für PLC-Geräte zu ändern, Multifaktor-Authentifizierung zu aktivieren und öffentlich erreichbare Geräte vom Internet zu trennen.

CyberAv3ngers bekannte sich im selben Jahr auch zu Angriffen auf Wasseraufbereitungsanlagen in Israel.

Die jüngsten Vorfälle in Minnesota würden einen der größten bekannten koordinierten Angriffe auf lokale Wasserinfrastruktur in den USA darstellen, die mit der Gruppe in Verbindung gebracht wurden.

CISA erweitert Warnung vor iranischen PLC-Bedrohungen

Die Angriffe ereigneten sich kurz nachdem die Cybersecurity and Infrastructure Security Agency und das FBI eine Warnung vor iranischen Aktivitäten gegen mit dem Internet verbundene Betriebstechnologie ausgeweitet hatten.

Wasser- und Abwassersysteme, öffentliche Dienste und Energieanlagen gehören zu den Sektoren, die als gefährdet gelten. Laut der Warnung haben mit dem Iran verbundene Akteure ihren Fokus über Geräte von Rockwell Automation hinaus auf PLCs von Schneider Electric, Siemens und anderen Herstellern ausgeweitet.

Zu den betroffenen Rockwell-Geräten gehören die Modelle CompactLogix und Micro850. CISA hat bislang nicht angegeben, welche konkreten Produkte von Schneider Electric und Siemens gefährdet sein könnten.

Laut der Sicherheitswarnung verlassen sich die Angreifer nicht unbedingt auf bekannte CVE-Schwachstellen. Stattdessen nutzen sie öffentlich erreichbare PLCs, schwache Konfigurationen und unzureichende Netzwerksegmentierung aus.

Wasserversorger sollen PLCs vom Internet trennen

Mit dem Iran verbundene Angreifer wurden dabei beobachtet, wie sie versuchten, schädliche Projektdateien herunterzuladen und Daten auf HMI- und SCADA-Anzeigen zu manipulieren. Solche Aktivitäten könnten industrielle Prozesse stören und Sicherheitsfunktionen beeinträchtigen.

CISA fordert Betreiber kritischer Infrastruktur dazu auf, PLCs unverzüglich vom öffentlichen Internet zu trennen. Organisationen sollten außerdem Fernzugriffe überprüfen, Standardzugangsdaten ändern, Multifaktor-Authentifizierung aktivieren und ihre Systeme auf verdächtige Aktivitäten überwachen.

Die Cyberangriffe auf Minnesotas Wasserversorgungssysteme verdeutlichen das wachsende Risiko für kleinere kommunale Versorgungsunternehmen. Selbst wenn die Wasserqualität nicht beeinträchtigt wird, kann ein Eindringen in Betriebstechnologie wichtige Dienste stören und lokale Teams dazu zwingen, Systeme manuell zu betreiben.