Zusammenfassung

  • Forescouts Analyse vom 5. August sagt, eine Shodan-Abfrage vom 3. August habe 4.407 Steuerungen mit offenem EtherNet/IP-Port 44818 gefunden.
  • Auf die USA entfielen 2.844 Ergebnisse oder 65 %, auf Kanada 513, Spanien 146, Italien 109 und Australien 96.
  • Mehr als 70 % der US-Ergebnisse lagen in großen Mobilfunknetzen; das zeigt eine zellulare Routingfläche, keinen Einbruch beim Betreiber.
  • Forescout fand 22 Hosts in Städten der aktuellen Wasserversorgerkampagne, konnte deren Kompromittierung jedoch nicht bestätigen.
  • Neunzehn erschienen laut Firmware für CVE-2017-16740 anfällig; weder das nötige aktive Modbus TCP noch eine Ausnutzung ist belegt.
  • Das FBI nennt seit dem 27. Juli Vorfälle in mindestens sieben Bundesstaaten, Forescout dagegen zwölf; maßgeblich sind sieben, die Abweichung bleibt offenzulegen.

Exposition ist der erste Nenner, nicht die Vorfallzahl

Die 4.407 stammen aus einer Suche nach öffentlich erreichbaren Geräten mit Port 44818 zu einem definierten Zeitpunkt. Es sind nicht 4.407 Wassersysteme, einzelne Organisationen, Opfer oder kompromittierte Steuerungen. Eine Organisation kann mehrere Geräte betreiben; manche dienen anderen Industrieprozessen.

Die Grenze macht das Ergebnis nicht harmlos. Eine direkt erreichbare Steuerung eröffnet einen Such- und Interaktionspfad, der entfernt oder stark vermittelt werden sollte. Exposition in Kompromittierung umzubenennen, führt jedoch zu falschen Annahmen über die Abhilfe.

Mobilfunkrouting ist der Konzentrationspunkt

Mehr als 70 % der US-Ergebnisse lagen in Netzen großer Mobilfunkanbieter. Zellulare Router verbinden abgelegene Anlagen, wo Festanschlüsse teuer sind. Sie können dabei einen öffentlichen Weg zu Geräten schaffen, die der Eigentümer für isoliert hielt.

Die Häufung beweist weder einen Einbruch beim Anbieter noch dessen Eigentum an der Steuerung. Sie zeigt die Schnittstelle von Adressierung, Routing, Firewall und Kundeneinstellung. Eigentümer müssen inventarisieren und segmentieren; Anbieter können Endpunkte identifizieren und private Adressen oder verwaltete Schutzfunktionen liefern.

Der Gerätemix verweist auf lange Lebenszyklen

MicroLogix 1400 stellte 50 %, CompactLogix 1769 22 %, MicroLogix 1100 und ControlLogix 5590 jeweils 8 %. Ältere Familien bleiben in Betrieb, weil ein Austausch Stillstand, Neuvalidierung und Änderungen am physischen Prozess erfordern kann.

Deshalb zählen kompensierende Kontrollen: öffentliche Routen entfernen, Fernzugang hinter authentifizierte Gateways legen, Protokolle überwachen und wiederherstellbare Logik sichern.

22 Überschneidungen sind keine 22 bestätigten Angriffe

Forescout verglich den Scan mit Städten der Wasserkampagne und fand 22 Hosts; 19 davon lagen im selben Mobilfunknetz. Die Überschneidung hilft bei der Priorisierung, doch Forescout konnte die Kompromittierung der konkreten Geräte nicht bestätigen.

Gemeinsame Geografie und Konnektivität können aus ähnlicher Beschaffung und Architektur folgen. Sie belegen weder gemeinsamen Eigentümer noch Attribution oder einen einzigen Eindringpfad. Die 22 sind eine dringende Prüfliste, keine Opferliste.

Firmware-Anfälligkeit enthält noch eine Bedingung

Neunzehn Geräte schienen anhand ihrer Firmware in den Bereich von CVE-2017-16740 zu fallen. Rockwells Hinweis definiert den Umfang. Laut Forescout erfordert die Ausnutzung aktiviertes Modbus TCP, was nicht aus der Ferne bestätigt werden konnte. Ein Einsatz der Schwachstelle in der Kampagne ist nicht belegt.

Anfälligkeit, Ausnutzbarkeit und tatsächliche Ausnutzung sind getrennte Stufen. Die Abwehr sollte beheben, die Berichterstattung darf sie nicht verschmelzen.

Der FBI-Datensatz definiert bestätigte Betriebsfolgen

FBI und EPA sagen, Versorger in mindestens sieben Staaten hätten seit 27. Juli Vorfälle gemeldet. Akteure änderten IP-Adressen und Passwörter, wodurch Überwachung oder Kontrolle ausfielen; berichtet wurden Druckverlust und Überflutung, ein Opfer fand eine veränderte PLC-Projektdatei. Eine Attribution fehlt.

Forescout spricht von zwölf Staaten. Da der FBI-Hinweis die offizielle Vorfallquelle ist, bleibt sieben bis zu einer Aktualisierung die vertretbare Zahl. Der Konflikt sollte sichtbar bleiben und zeigt, warum Scans keine Vorfallakten ersetzen.

Unabhängige Scans bilden keine saubere Zeitreihe

Censys zählte am 30. Juli 4.148 Rockwell- oder Allen-Bradley-Hosts und ordnete 59 % Verizon Business, AT&T Mobility und T-Mobile USA zu. Forescouts Shodan-Suche ergab am 3. August 4.407. Motoren, Regeln, Daten und Klassifikation unterscheiden sich; die Differenz beweist kein Wachstum.

Innerhalb Forescouts eigener Reihe sank die Zahl von 7.814 im März 2020 auf 4.169 im Juni 2026 und stieg im August auf 4.407. Das spricht für langfristige Verringerung, einen großen Rest und eine jüngste Erholung unter derselben Methode.

Quellen