Das FBI, die NSA und die CISA haben eine formelle Warnung bezüglich staatlich unterstützter iranischer Hacker herausgegeben, die aktiv mit dem Internet verbundene industrielle Kontrollsysteme amerikanischer Energie- und Wasserversorger infiltrieren. Berichten zufolge führen diese Eingriffe zu Betriebsunterbrechungen und zur Deaktivierung wichtiger Sicherheitsüberwachungsfunktionen.
Umfang der Cybersicherheitsbedrohung
Die Bundesbehörden haben eine aktualisierte Warnmeldung herausgegeben, dass mit dem Iran verbundene Bedrohungsakteure erfolgreich mit dem Internet verbundene operative Netzwerke ausnutzen. Der Fokus dieser Angriffe liegt auf speicherprogrammierbaren Steuerungen, die als Rückgrat industrieller Abläufe dienen. Zunächst wurde beobachtet, dass es sich um Ausrüstung von Rockwell handelte, die Untersuchung wurde jedoch erheblich ausgeweitet und umfasst nun auch kritische Hardware von Schneider Electric und Siemens. Beamte warnen nun davor, dass praktisch alle industriellen Steuerungssysteme, die weiterhin dem öffentlichen Internet ausgesetzt sind, einem erhöhten Risiko einer Kompromittierung ausgesetzt sind. Durch die Manipulation der auf diesen Kontrollschnittstellen angezeigten Daten erstellen Angreifer falsche Betriebsnarrative, die zu physischen Ausfällen und Instabilität wesentlicher Dienste führen können.
Taktische Operationen und Sicherheitsrisiken
Die Raffinesse dieser Eingriffe geht über bloßen Datendiebstahl oder Spionage hinaus und stellt eine direkte Bedrohung für die Anlagensicherheit dar. Nach Angaben von Bundesermittlern kam es bei mindestens einem Infrastrukturanbieter zu einem Verstoß, bei dem Hacker die interne Programmierlogik gezielt veränderten, um wichtige Abschalt- und Alarmfunktionen zu deaktivieren. Dieses taktische Manöver machte die Bediener effektiv blind und ermöglichte es Industriesystemen, in unsichere Zustände zu wechseln, ohne die notwendigen Warnungen oder manuellen Eingriffe auszulösen. Solche Aktionen stellen eine bewusste Verlagerung hin zu destruktiven Cyberoperationen dar. Die Behörden betonen, dass der Hauptgrund für diese disruptiven Bemühungen offenbar Vergeltungsmaßnahmen im Zusammenhang mit dem anhaltenden geopolitischen Konflikt zwischen den Vereinigten Staaten, Israel und dem Iran sind, der im Februar begann.
Breiteres Muster iranischer Aktivitäten
Diese jüngsten Infrastrukturangriffe sind Teil einer größeren, sich entwickelnden Kampagne digitaler Aggression, die iranischen Akteuren seit Ausbruch der regionalen Feindseligkeiten zugeschrieben wird. Das Spektrum dieser Operationen ist riesig und reicht von traditioneller Spionage über die öffentliche Offenlegung privater Daten bis hin zum Einsatz aggressiver, zerstörerischer Malware. Insbesondere wurde das als Handala identifizierte Hackerkollektiv mit mehreren aufsehenerregenden Vorfällen in Verbindung gebracht, darunter der Fernlöschung von Zehntausenden Geräten beim US-amerikanischen Medizinunternehmen Stryker. Während die Gruppe auch behauptete, im Juni gegen einen kalifornischen Wasserversorger verstoßen zu haben, gab der angegriffene Energieversorger an, dass eine anschließende Untersuchung keine Hinweise auf einen unbefugten Zugriff auf sein Betriebskontrollnetzwerk ergeben habe.
⚖ The Balanced View
Concerns & criticism
Bundesbehörden sind nach wie vor zutiefst besorgt darüber, dass das Fortbestehen dieser Hacks in Kombination mit der erfolgreichen Änderung der sicherheitskritischen Logik in Industriesteuerungen mit hoher Wahrscheinlichkeit zu großen physischen Schäden führt, wenn Schwachstellen in der dem Internet ausgesetzten Infrastruktur nicht dringend behoben werden.
→What's next
Anbieter kritischer Infrastrukturen werden aufgefordert, ihre mit dem Internet verbundenen Systeme unverzüglich zu überprüfen und die Sicherheit speicherprogrammierbarer Steuerungen zu erhöhen. Von den Bundesbehörden wird erwartet, dass sie fortlaufend technische Updates bereitstellen, während sie die sich entwickelnden Strategien dieser staatlich unterstützten Hackergruppen weiterhin überwachen.