De recente cybercampagne gericht op de water- en afvalwatersector in de Verenigde Staten heeft minstens zeven staten getroffen. Nieuwe informatie wijst op een mogelijke connectie met Iraanse hackers. Minnesota meldde vorige week dat operationele technologie (OT)-systemen van meer dan dertig water- en afvalwaterinstallaties op 26 en 27 juli doelwit waren van een cyberaanval. Slechts enkele steden gaven publieke verklaringen over de aanval. Eén stad schakelde tijdelijk haar waterinstallatie uit, maar de meeste meldden geen operationele impact en stelden burgers gerust dat het drinkwater veilig bleef.

De campagne beperkte zich niet tot Minnesota. Verschillende media meldden op basis van bronnen dat minstens zeven staten getroffen zijn. Michigan bevestigde officieel dat een klein aantal gemeenschappen te maken heeft gehad met kwaadaardige cyberactiviteiten, waarbij alle systemen veilig bleven functioneren en er geen gezondheidsrisico’s waren. Ook Rapid City in South Dakota rapporteerde een cybersecurity-incident dat mogelijk onderdeel is van dezelfde campagne. De stad meldde via Facebook dat een cyberincident plaatsvond bij een van haar liftstations binnen het afvalwatersysteem, maar benadrukte dat de water- en afvalwaterinfrastructuur te allen tijde veilig en beschermd bleef. Volgens ABC News behoort ook Georgia tot de getroffen staten. De namen van de overige staten zijn nog niet bekend.

Iran wordt als hoofdverdachte genoemd vanwege eerdere aanvallen op industriële controlesystemen (ICS) en andere OT-systemen, waaronder in de watersector. Hoewel de Amerikaanse overheid Iran niet publiekelijk heeft beschuldigd, meldden meerdere media dat federale onderzoekers de mogelijke Iraanse betrokkenheid onderzoeken. WaterISAC, de communicatie- en informatie-uitwisselingsorganisatie voor de watersector, rapporteerde dat het Fusion Center van Minnesota bewijs vond dat de aanvallen overeenkomen met eerdere hackingcampagnes die door de VS aan Iran worden toegeschreven. Wired verkreeg een kopie van dit rapport, dat door WaterISAC als TLP:Amber is gemarkeerd en niet bedoeld is voor publieke verspreiding.

Technische details zijn schaars. Eén stad in Minnesota meldde dat het incident beperkt bleef tot apparatuur die via mobiele netwerken verbonden is. Experts bevestigen dat OT-endpoints die via cellulair internet verbonden zijn een mogelijke toegangspoort vormen. Eerder richtten Iraanse hackers zich op waterinstallaties in Israël via kwetsbare mobiele routers. Infracritical publiceert een continu bijgewerkt rapport met alle bekende technische informatie voor OT-beveiligers. Na bekendwording van de aanvallen riep CISA de sector op om OT-systemen, met name programmeerbare logische controllers (PLC’s), beter te beschermen. Enkele dagen voor de aanvallen in Minnesota werkten federale instanties een aprilwaarschuwing bij over Iraanse aanvallen op OT-apparatuur, waarbij ICS van Siemens, Schneider Electric en Rockwell Automation als doelwit werden genoemd. Internetbeveiligingsbedrijf Censys meldde dat ongeveer 10.000 PLC’s van deze fabrikanten blootstaan aan het internet, hoewel onduidelijk is hoeveel daarvan daadwerkelijk kwetsbaar zijn.