Agencje stanowe i federalne prowadzą dochodzenie po tym, jak skoordynowany cyberatak uderzył w systemy technologii operacyjnej (OT) w kilkudziesięciu przedsiębiorstwach wodociągowych w Minnesocie.

Autor: 4 min czytania

Według Minnesota IT Services (MNIT) w dniach 26 i 27 lipca zaatakowano ponad 30 komunalnych systemów wodociągowych.

Oświadczenia wydane przez niektóre miasta, których systemy stały się celem ataku – w tym Maple Plain, Braham, South St. Paul i Plymouth – ujawniły, że zostały naruszone niektóre „automatyczne funkcje sterowania”. Mimo to uruchomiono procedury awaryjne, a w większości przypadków systemy wodociągowe i kanalizacyjne działały bez zakłóceń.

Miasto Braham tymczasowo wyłączyło swoją stację wodociągową po wykryciu incydentu, wzywając mieszkańców do ograniczenia zużycia wody. Władze ujawniły, że „atakujący wyłączyli systemy sterowania, co spowodowało wyłączenie studni i oczyszczalni ścieków”.

Plymouth oświadczyło, że „problem ogranicza się do urządzeń połączonych za pośrednictwem komunikacji komórkowej w systemie”.

Wszystkie dotknięte atakiem miasta poinformowały mieszkańców, że woda pitna jest bezpieczna, a usługi wodociągowe i kanalizacyjne działają.

Nie jest jasne, kto stoi za incydentem, który nastąpił wkrótce po tym, jak rząd USA ostrzegł organizacje infrastruktury krytycznej przed atakami powiązanymi z Iranem, wymierzonymi w systemy sterowania przemysłowego (ICS) firm Siemens, Rockwell Automation i Schneider Electric.

Irańskie grupy przestępcze CyberAv3ngers i Handala pasują do profilu ataków na systemy wodociągowe w Minnesocie. Mimo to śledczy nie przypisali incydentów żadnemu konkretnemu podmiotowi, a urzędnicy podkreślili, że nie ustalono sprawców.

Eksperci z branży skomentowali cyberataki w SecurityWeek:

„Kiedy czytam o cyberatakach na systemy wodociągowe w Minnesocie, nie myślę od razu o atrybucji. Myślę o operatorze i potencjalnych konsekwencjach operacyjnych” – mówi Harry Thomas, dyrektor ds. technologii i współzałożyciel firmy Frenos, zajmującej się bezpieczeństwem OT. „W MITRE ATT&CK dla systemów ICS konsekwencje te obejmują utratę widoczności (monitoringu), utratę kontroli lub jej brak oraz manipulację widocznością lub kontrolą. Proces fizyczny może działać nawet wtedy, gdy operatorzy nie mogą go już widzieć, wpływać na niego lub ufać informacjom z ekranów”.

„Te rozróżnienia mają znaczenie” – dodał Thomas. „Brak widoczności lub kontroli może być tymczasowy. Trwała utrata może wymagać interwencji lub ręcznej obsługi. Manipulacja może być jeszcze bardziej niebezpieczna, ponieważ proces może być na innym etapie niż ten, który jest zgłaszany operatorowi. W rezultacie incydent może przerodzić się w utratę dostępności, utratę ochrony, utratę bezpieczeństwa lub uszkodzenie fizyczne”.

Denis Calderone, dyrektor techniczny Suzu Labs, zwrócił uwagę na stwierdzenie Plymouth, że wpływ ogranicza się do urządzeń połączonych za pomocą komunikacji komórkowej:

„Wieże ciśnień, przepompownie, stacje pomp – te odległe zasoby często łączą się z systemem SCADA za pośrednictwem modemów komórkowych, a z naszego doświadczenia wynika, że drugorzędne i/lub alternatywne łącza komunikacyjne są często pomijane podczas analizy ryzyka i podatności na ataki. Nic więc dziwnego, że wektor ataku mógł przebiegać przez te połączenia komórkowe”.

„W przypadku sieci SCADA i systemów sterowania przemysłowego infrastruktura jest często w dużej mierze budowana przez integratora, co zwiększa ryzyko przeoczenia tych połączeń” – dodaje Calderone. „W raporcie widzieliśmy, że administrator miasta Braham prosi teraz o ponowną ocenę analizy podatności systemu i nie zdziwiłbym się, gdyby w tej analizie w ogóle nie uwzględniono tych ścieżek komunikacji komórkowej”.

Warto zauważyć, że w atakach na izraelskie obiekty wodne w 2020 roku cyberprzestępcy powiązani z rządem Iranu wykorzystali podatne na ataki routery komórkowe jako punkt wejścia. Seemant Sehgal, założyciel i dyrektor generalny BreachLock, zwrócił uwagę, że śledczy muszą ustalić wspólny mianownik ataków na obiekty wodne w Minnesocie, ponieważ ta sama luka w zabezpieczeniach „prawie na pewno występuje w infrastrukturze wodnej daleko poza Minnesotą”.