Iran in amerikanischen PLCs: Die IRGC hat bereits reale Schaeden an US-Wasser- und Energieanlagen verursacht
Am 7. April 2026 veroeffentlichten sechs US-Bundesbehoerden — FBI, CISA, NSA, EPA, Energieministerium und Cyber Command — das gemeinsame Advisory AA26-097A mit einer eindeutigen Botschaft: Iran-affiliierte Hacker haben speicherprogrammierbare Steuerungen (PLCs) in amerikanischer kritischer Infrastruktur kompromittiert und dabei reale Betriebsstoerungen und finanzielle Verluste verursacht. NERC bestaetigte, dass das nationale Stromnetz aktiv ueberwacht wird.
CyberAv3ngers 2.0: Von Unitronics-Standardpasswoertern zu Rockwell Studio 5000
Das Advisory identifiziert den Akteur als affiliiert mit dem IRGC Cyber Electronic Command (CEC) — CyberAv3ngers (alias Shahid Kaveh Group). Die Kampagne 2026 markiert einen dramatischen qualitativen Sprung: Die Angreifer verwenden nun Drittanbieter-Infrastruktur und legitime industrielle Konfigurationssoftware — speziell Rockwell Automation Studio 5000 Logix Designer — um akzeptierte Verbindungen zu den PLCs der Opfer herzustellen.
Advisory CISA AA26-097A ist gemeinsam unterzeichnet von FBI, CISA, NSA, EPA, DOE und U.S. Cyber Command. Die Angreifer verursachten "Betriebsstoerungen und finanzielle Verluste" bei mehreren US-Organisationen kritischer Infrastruktur. NERC ueberwacht aktiv das nationale Stromnetz.
Ziele: Wasser, Energie, Regierungsdienste
Kompromittierte PLCs waren in drei kritischen Sektoren verteilt: Wasser- und Abwassersysteme (WWS), Energiesektor und Regierungsdienste einschliesslich Kommunen. Zielgeraete umfassen Rockwell Automation CompactLogix und Micro850. Das Targeting von Ports anderer OT-Herstellerprotokolle deutet darauf hin, dass auch Siemens S7 PLCs angegriffen werden.
- Wassersektor (WWS): Aufbereitungsanlagen — chemische Prozesse, Pumpen, Ventile
- Energiesektor: Stromerzeugung, Verteilung, Umspannwerke
- Regierungsdienste: Kommunen und lokale Verwaltungen
- Geraete: Rockwell CompactLogix, Micro850, potenziell Siemens S7
- Zielports: 44818 (EtherNet/IP), 2222 (Rockwell), 102 (Siemens S7), 22 (SSH), 502 (Modbus)
Technische Anatomie: Studio 5000, Dropbear und HMI-Manipulation
Die Angreifer verwendeten im Ausland gehostete IPs und Drittanbieter-Infrastruktur mit Studio 5000 Logix Designer. Sie extrahierten Projektdateien mit industrieller Prozesssteuerungslogik und manipulierten Daten auf HMI- und SCADA-Displays. Fuer Persistenz verteilten die Angreifer Dropbear — eine leichtgewichtige SSH-Implementierung fuer eingebettete Systeme — auf Opfer-Endpoints ueber Port 22.
Zielports — 44818 (EtherNet/IP/CIP), 2222 (Rockwell), 102 (Siemens S7comm), 22 (SSH/Dropbear), 502 (Modbus) — zeigen, dass die Angreifer das gesamte Spektrum industrieller Protokolle sondieren. Jede Organisation mit internetexponierten PLCs auf diesen Ports muss sich als unmittelbar gefaehrdet betrachten.
Vom Nahen Osten nach Europa: Warum diese Kampagne auch uns betrifft
Dieselben Rockwell- und Siemens-Geraete bilden das Rueckgrat der europaeischen Industrieautomatisierung. Der Waterfall Security Threat Report 2026 dokumentiert, dass Nation-State- und Hacktivisten-Angriffe auf kritische Infrastrukturen sich verdoppelt haben, mit Deutschland, den USA und Russland als wichtigsten Opfergeografien. Europa ist kein zukuenftiges Ziel — es ist bereits ein aktives.
IOCs und Zielports
- Port 44818: EtherNet/IP — Rockwell CIP-Protokoll
- Port 2222: Rockwell Automation proprietaere PLC-Konfiguration
- Port 102: Siemens S7comm — S7-300/400/1200/1500-Kommunikation
- Port 22: SSH — Dropbear fuer persistenten Fernzugriff
- Port 502: Modbus TCP — universelles SCADA/HMI-Protokoll
- Software: Rockwell Automation Studio 5000 Logix Designer
- Vollstaendige STIX-IOCs im CISA Advisory AA26-097A verfuegbar
Operative Empfehlungen
- 1.PLCs vom Internet trennen: Kein PLC sollte direkt erreichbar sein. Fernzugriff nur ueber VPN mit MFA und dedizierten Jump Boxes.
- 2.OT-Ports am Perimeter blockieren: Ports 44818, 2222, 102 und 502 duerfen niemals extern zugaenglich sein.
- 3.Audit aller Rockwell- und Siemens-Geraete: Alle CompactLogix, Micro850 und Siemens S7 auf unautorisierte Verbindungen und Dropbear pruefen.
- 4.Studio-5000-Verbindungen ueberwachen: Jede Verbindung muss protokolliert und mit autorisierter Aktivitaet korreliert werden.
- 5.HMI/SCADA-Integritaet verifizieren: Angezeigte Daten mit unabhaengigen Messungen vergleichen.
- 6.Rigorose IT/OT-Segmentierung: OT-Netzwerk muss physisch oder logisch getrennt sein mit industrieller DMZ.
- 7.Manueller Rueckfallplan: Jeder kritische Prozess muss getestete manuelle Betriebsverfahren haben.
- 8.Threat Hunting mit CISA-IOCs: STIX-Indikatoren aus AA26-097A verwenden.
Fazit: Hybride Kriegsfuehrung hat die Ventile und Transformatoren erreicht
Advisory AA26-097A markiert einen Wendepunkt in der iranischen hybriden Kriegsfuehrung. Die Progression von Unitronics-PLCs mit Standardpasswoertern (2023) zu Rockwell Automation mit Studio 5000 (2026) zeigt einen sich rasch weiterentwickelnden Akteur. Fuer Europa ist die Lektion unmittelbar: Wenn der Iran PLCs in der technologisch fortschrittlichsten Nation kompromittieren kann, kann er es ueberall.
Primaerquellen: CISA Advisory AA26-097A (7. April 2026), CyberScoop (8. April 2026), Cybersecurity Dive (8. April 2026), The Register (7. April 2026), Defense One (April 2026), Utility Dive/NERC (April 2026), Waterfall Security Threat Report 2026. STIX-IOCs auf cisa.gov.