Forescout heeft 22 op internet gerichte Rockwell Automation programmeerbare logische controllers (PLC’s) gevonden in steden die zijn getroffen door recente cyberaanvallen op Amerikaanse waterbedrijven. Negentien gebruikten hetzelfde mobiele netwerk.
De scan van 3 augustus telde wereldwijd 4.407 blootgestelde Rockwell-controllers, waaronder 2.844 in de Verenigde Staten, maar Forescout kon niet bevestigen dat deze gecompromitteerd waren. Dat cijfer telt de blootgestelde controleurs, niet de waterbedrijven of bevestigde slachtoffers.
Forescout zei dat de publiekelijk beschreven effecten kunnen worden bereikt zonder misbruik van een kwetsbaarheid: aanvallers veranderden IP-adressen en stelden wachtwoorden in op controllers die al bereikbaar waren, waardoor operators de zichtbaarheid en, in sommige gevallen, de controle over aangesloten apparatuur verloren.
Noch de waarschuwingen van de overheid, noch de analyse van Forescout legt uit hoe de aanvallers hun doelen hebben gevonden, geselecteerd of aanvankelijk benaderd.
Water- en afvalwaterbedrijven in ten minste zeven staten hebben sinds 27 juli incidenten gemeld, zeiden de FBI en EPA in een openbare aankondiging van 30 juli. The Hacker News ontdekte op 6 augustus dat Forescout’s bericht zegt dat de aankondiging minstens twaalf staten bevestigde, terwijl de FBI-pagina zeven zegt. Geen enkel bureau heeft de campagne toegeschreven.
Wat de uiteindelijke telling ook zal zijn, verdedigers kunnen nu actie ondernemen door de controllers van het openbare internet te halen.
Door EtherNet/IP op poort 44818 bloot te leggen, ontstaat een niet-geverifieerd pad waarmee een aanvaller, afhankelijk van de apparaatconfiguratie, een controller kan identificeren of er instellingen naartoe kan schrijven, aldus Forescout.
Forescout vond meer dan 70% van de in de VS gevestigde blootgestelde controllers op grote netwerken van mobiele providers. De FBI en EPA bevelen sterke authenticatie, updates en logboekregistratie aan voor mobiele modems, waarbij externe toegang wordt geïsoleerd via een privé-APN, VPN of soortgelijke architectuur.
Uit een momentopname van Censys van 30 juli bleek dat er 4.148 blootgestelde Rockwell/Allen-Bradley EtherNet/IP-hosts waren, waarbij Verizon Business, AT&T Mobility en T-Mobile USA 59% voor hun rekening namen. De snapshots van Censys en Forescout overschrijden beide de 4.100 hosts, maar verschillende platforms, queries en data maken de cijfers niet direct vergelijkbaar. De historische reeksen van Forescout bereikten in juni 2026 een dieptepunt van 4.169, een daling van 47% ten opzichte van 7.814 in maart 2020; de momentopname van 3 augustus was 4.407.
MicroLogix 1400-apparaten vertegenwoordigden 50% van de resultaten van Forescout en MicroLogix 1100-apparaten 8%. De FBI en EPA noemden beide families. Forescout zei dat 19 van de 22 controllers in de getroffen steden firmware gebruikten die gevoelig is voor CVE-2017-16740 (Rockwell CVSS-score: 8,6).
Het probleem is een Modbus TCP-bufferoverflow die invloed heeft op MicroLogix 1400 Series B en C met firmware 21.002 en eerder; Rockwell heeft dit opgelost in revisie 21.003. Voor exploitatie is het nodig dat Modbus TCP is ingeschakeld, wat Forescout niet kon verifiëren op die hosts. Firmware-updates pakken specifieke bugs aan, maar “maken directe publieke blootstelling van PLC’s niet acceptabel”, schreven de onderzoekers.
Rockwell heeft de MicroLogix 1100 op 30 april 2022 stopgezet. Advies SD1790 vertelt operators die zijn buitengesloten door een door de aanvaller ingesteld wachtwoord, hoe ze een MicroLogix 1400 of 1100 kunnen resetten naar de fabrieksinstellingen en een projectbestand waarvan bekend is dat het goed is, opnieuw moeten downloaden. De kennisgeving bevat geen CVE omdat het herstelrichtlijnen betreft en geen openbaarmaking van kwetsbaarheden.
Voor dat herstelpad is een huidige offline kopie van de controllerlogica vereist. De FBI zei dat ten minste één slachtoffer aangepaste PLC-projectbestanden heeft gevonden nadat hij op verschillende sites discrepanties in de ladderlogica had opgemerkt. Het waarschuwde ook dat vergelijkbare netwerkconfiguraties van derden ervoor kunnen zorgen dat aanvallers succesvolle compromissen kunnen herhalen bij klanten die kwetsbare configuraties delen.
