Хакери експлоатират свързани с интернет промишлени контролери, за да нарушават работата на американски водоснабдителни компании и други жизненоважни услуги.
Неотдавнашни инциденти показват, че лошо защитеното оборудване може да осигури на атакуващите директен достъп до физически операции, като последиците варират от загуба на мониторинг до наводнения и намалено налягане на водата.
Заплахата включва няколко кампании, а не едно новооткрито семейство зловреден код. Атакуващите експлоатират достъпни устройства, слаби пароли, незащитена отдалечена връзка и легитимни инженерни функции.
Тези слабости могат да позволят на нарушителите да променят начина на работа на оборудването, без да внедряват сложен промишлен зловреден код. Анализатори от PolySwarm отбелязаха този нарастващ риск в оценка, публикувана на 5 октомври 2026 г.
От PolySwarm съобщиха в доклад, споделен с Cyber Security News (CSN), че компрометирането на гражданска инфраструктура може да засегне и военни операции, когато базите зависят от външни комунални услуги и доставчици.
Докладът разграничава потвърдените атаки срещу контролери от разузнаването и подготовката за евентуални бъдещи смущения.
Това разграничение е от значение: някои пробиви вече са засегнали физически процеси, докато други осигуряват достъп, който би могъл да стане опасен по време на криза или конфликт.
Хакери експлоатират достъпни промишлени контролери
От 27 юли 2026 г. водоснабдителни и канализационни предприятия в най-малко седем щата съобщават за атаки срещу свързани с интернет контролери Rockwell Automation/Allen-Bradley MicroLogix 1100 и 1400.
Предишни доклади за достъпни промишлени контролери на Rockwell показват защо оборудването, достижимо от публични мрежи, представлява такъв постоянен проблем.
Атакуващите са променили пароли и мрежови адреси, възпрепятствайки способността на операторите да наблюдават или управляват оборудването.
Поне една засегната организация е открила модифицирани проектни файлове на контролерите и разминавания в програмираната логика, използвана за управление на физическите процеси.
Съобщените последици включват наводнения и загуба на налягане на водата. ФБР предупреди, че значително намаленото налягане потенциално би могло да позволи навлезнето на необработени подпочвени води в разпределителните тръби.
Това беше предупреждение за възможна контаминация, а не потвърждение, че е настъпило замърсяване по време на съобщените инциденти. Властите не са приписали публично юлската кампания на Иран, Русия или друга конкретна група.
От PolySwarm предупредиха да не се слива тази кампания с отделна дейност, свързана с Иран, само защото и двете са включвали достъпни промишлени контролери и разрушителни промени.
Предишни атаки срещу контролери Unitronics показват как основни пропуски в сигурността могат да доведат до сериозни последици. Между ноември 2023 г. и януари 2024 г. CyberAv3ngers компрометираха най-малко 75 устройства, включително поне 34 във сектора на водоснабдяването и отпадъчните води в САЩ, използвайки пароли по подразбиране или устройства без защита с парола.
Атакуващите са изтрили оригиналната управляваща логика, инсталирали са заместващо програмиране, преименували са устройства и са променили конфигурации и портове.
Отделна кампания, свързана с Иран и съобщена през април 2026 г., е нарушила работата на контролерите и е манипулирала информацията, показвана на операторите, но официалните лица не са приписали изрично тази кампания на CyberAv3ngers.
Защита на инфраструктурата
По-широките опасения надхвърлят отделните комунални дружества. Американските агенции оценяват, че пробивите в инфраструктурата от страна на Volt Typhoon имат за цел да осигурят достъп, който би могъл да даде възможност за саботаж по време на бъдеща криза.
Групата често разчита на легитимни административни инструменти и откраднати идентификационни данни, а не на характерен зловреден код. Военните съоръжения зависят от гражданското електроснабдяване, вода, комуникации, транспорт, горива и промишлени доставчици.
Прекъсването на тези услуги би могло да възпрепятства мисии, без да се пробиват военни мрежи. Докладът не потвърждава, че юлските атаки срещу водоснабдяването са били насочени конкретно срещу военни операции.
Междувременно проруски групи прихващат открити VNC връзки, за да достигнат до промишлени интерфейси. Властите предупреждават, че тези субекти понякога преувеличават постиженията си, но също така са причинявали и реални щети. Ограничените технически умения не премахват рисковете от манипулиране на непознато оборудване.
PolySwarm препоръчва премахване на ненужния достъп от интернет, премахване на идентификационните данни по подразбиране, ограничаване на отдалечения достъп само до оторизирани потребители и мониторинг на отдалечените сесии.
Операторите трябва също така да изолират корпоративните мрежи от промишлените среди и да следят за пътища на проникване, които биха могли да свържат двете среди.
Планирането на възстановяването трябва да запазва доверени конфигурации на контролерите, проектни файлове, програмирана логика, детайли за фърмуера и мрежови настройки. Екипите се нуждаят от тествани процедури за ръчна работа, когато отдалеченото управление стане недостъпно или ненадеждно.
Комуналните дружества и военните планиращи органи трябва да картират споделените зависимости и да проиграват каскадни прекъсвания, координирайки киберсигурността, инженерните екипи, операциите и управлението на извънредни ситуации, преди да настъпят смущения.
Докладът също така съдържа хешове на образци от зловреден код, свързани с четири от представените автори на заплахи. Тези индикатори са възпроизведени по-долу точно както са предоставени; тяхното включване не потвърждава, че образците са били използвани в юлските атаки срещу водоснабдяването или във всяка от обсъжданите тук кампании.
Indicators of compromise (IoCs):-
| Type | Indicator | Description |
|---|---|---|
| SHA-256 | e453e6efc5a002709057d8648dbe9998a49b9a12291dee390bb61c98a58b6e95 | Malware sample associated with Volt Typhoon. |
| SHA-256 | 6036390a2c81301a23c9452288e39cb34e577483d121711b6ba6230b29a3c9ff | Malware sample associated with Volt Typhoon. |
| SHA-256 | 8fa3e8fdbaa6ab5a9c44720de4514f19182adc0c9c6001c19cf159b79c0ae9c2 | Malware sample associated with Volt Typhoon. |
| SHA-256 | 3e9fc13fab3f8d8120bd01604ee50ff65a40121955a4150a6d2c007d34807642 | Malware sample associated with Volt Typhoon. |
| SHA-256 | f4dd44bc19c19056794d29151a5b1bb76afd502388622e24c863a8494af147dd | Malware sample associated with Volt Typhoon. |
| SHA-256 | eaef901b31b5835035b75302f94fee27288ce46971c6db6221ecbea9ba7ff9d0 | Malware sample associated with Volt Typhoon. |
| SHA-256 | 9e5f9dcb5f17efdca727b7b13a5f9ecd3296d28ac10e3675259b660d62739b87 | Malware sample associated with CyberAv3ngers. |
| SHA-256 | 1b39f9b2b96a6586c4a11ab2fdbff8fdf16ba5a0ac7603149023d73f33b84498 | Malware sample associated with CyberAv3ngers. |
| SHA-256 | 3e4bb8089657fef9b8e84d9e17fd0d7740853c4c0487081dacc4f22359bade5c | Malware sample associated with GRU Unit 29155. |
| SHA-256 | 20215acd064c02e5aa6ae3996b53f5313c3f13625a63da1d3795c992ea730191 | Malware sample associated with GRU Unit 29155. |
| SHA-256 | 3fe9214b33ead5c7d1f80af469593638b9e1e5f5730a7d3ba2f96b6b555514d4 | Malware sample associated with GRU Unit 29155. |
| SHA-256 | 761075da6b30bb2bcbb5727420e86895b79f7f6f5cebdf90ec6ca85feb78e926 | Malware sample associated with NoName057(16). |
| SHA-256 | fae9b6df2987b25d52a95d3e2572ea578f3599be88920c64fd2de09d1703890a | Malware sample associated with NoName057(16). |
| SHA-256 | 8e1769763253594e32f2ade0f1c7bd139205275054c9f5e57fefd8142c75441f | Malware sample associated with NoName057(16). |
| SHA-256 | 9a1f1c491274cf5e1ecce2f77c1273aafc43440c9a27ec17d63fa21a89e91715 | Malware sample associated with NoName057(16). |
| SHA-256 | 726c2c2b35cb1adbe59039193030f23e552a28226ecf0b175ec5eba9dbcd336e | Malware sample associated with NoName057(16). |
| SHA-256 | 7e12ec75f0f2324464d473128ae04d447d497c2da46c1ae699d8163080817d38 | Malware sample associated with NoName057(16). |
Забележка: IP адресите и домейните са нарочно обезопасени (напр. [.]), за да се предотврати случайно решаване на имена или създаване на хипервръзки. Възстановете ги само в рамките на контролирани платформи за анализ на заплахи като MISP, VirusTotal или вашата SIEM система.