Investigadores de Tenable sospechan que el grupo CyberAv3ngers, vinculado a Irán, estuvo detrás de un ciberataque coordinado que afectó a más de 30 instalaciones de agua en Minnesota. Aunque no hay una atribución oficial, el patrón coincide con advertencias previas de CISA sobre ataques a controladores lógicos programables en infraestructuras críticas. A pesar de las interrupciones y la declaración de emergencia en algunas zonas, no se reportaron riesgos graves para la salud pública.



Investigadores de seguridad de Tenable sospechan que el grupo de falsos hacktivistas vinculado a Irán CyberAv3ngers estuvo detrás del ciberataque que afectó a más de 30 instalaciones de agua en Minnesota.

Ni los funcionarios estatales ni los federales han hecho declaraciones sobre la atribución de los ataques, sin embargo, Tenable estima que el patrón operativo es coherente con las incursiones anteriores del grupo, señalando el momento elegido en relación con las recientes advertencias gubernamentales.

La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) actualizó una advertencia el 22 de julio sobre atacantes vinculados a Irán que tenían como objetivo controladores lógicos programables (PLC) en infraestructuras críticas, cuatro días antes de que Minnesota informara que los ataques habían afectado a sus sistemas.


La advertencia alertaba que los hackers vinculados a Irán intentaban interrumpir las operaciones utilizando tácticas previamente asociadas con CyberAv3ngers. Las instalaciones gubernamentales, los sistemas de agua y aguas residuales y los proveedores de energía se encontraban entre los instados a permanecer en alerta máxima.

¿Qué pasó en Minnesota?

El 26 y 27 de julio, más de 30 sistemas comunitarios de agua en todo Minnesota se vieron afectados por lo que los funcionarios calificaron como "un ciberataque coordinado" dirigido a la tecnología operativa (OT).

Minnesota IT Services (MNIT), la agencia de TI del estado, señaló que el Departamento de Salud está trabajando con las instalaciones de agua afectadas para asegurar que se mantenga la salud pública. Según la última actualización de MNIT, ninguna ciudad ha pedido aún a los ciudadanos que modifiquen la cantidad de agua potable que consumen.

La agencia no ofreció muchos otros detalles sobre los ataques, aparte de mencionar las diferentes agencias, organizaciones y organismos con los que está colaborando como parte de la investigación.

Una de las primeras ciudades en informar problemas, Braham, advirtió en su aviso inicial que sus reservas de agua eran limitadas. Se pidió a los ciudadanos que no regaran sus jardines ni usaran agua para fines recreativos, aunque los problemas se resolvieron el mismo día.

No se emitieron tales directrices en otras ciudades afectadas. Maple Plain declaró el estado de emergencia, lo que le permitió una mayor flexibilidad para coordinar recursos, pero no pidió a los residentes que ajustaran su consumo.

Lo mismo ocurrió en el suburbio de Plymouth de Twin Cities y en South St. Paul, que confirmaron problemas relacionados con la ciberseguridad el 27 de julio pero no pidieron a los residentes que limitaran el uso del agua.

"Los ciberataques contra las infraestructuras críticas requieren una respuesta coordinada de todo el gobierno", afirmó John Israel, comisionado adjunto de MNIT y CISO de Minnesota.


"MNIT está trabajando codo con codo con nuestros socios para compartir inteligencia, apoyar a las comunidades afectadas y ayudar a las empresas de servicios públicos a restaurar las operaciones de forma segura, al tiempo que se refuerzan las defensas contra futuros ataques.

"Este incidente demuestra por qué Minnesota ha invertido en capacidades y asociaciones sólidas de ciberseguridad. Nuestra respuesta funcionó según lo previsto, permitiendo que las agencias en todos los niveles del gobierno se coordinaran rápidamente, contuvieran el incidente y ayudaran a prevenir impactos más graves en los servicios críticos".

¿Qué es CyberAv3ngers?

Identificado por primera vez alrededor de 2020, se cree ampliamente que CyberAv3ngers está vinculado al Cuerpo de la Guardia Revolucionaria Islámica (IRGC) de Irán, específicamente a su división de Comando Ciber-Electrónico (IRGC-CEC).

Durante los dos primeros años, el grupo comenzó como una "persona de propaganda", según Tenable, afirmando haber realizado ataques disruptivos en la infraestructura israelí, afirmaciones que más tarde fueron desmentidas como fabricaciones.

Su primera campaña sostenida se produjo en noviembre de 2023, cuando comprometió los PLC de la Autoridad Municipal del Agua de Aliquippa, Pensilvania, desfigurándolos con mensajes anti-Israel.

Tenable señaló que CyberAv3ngers comprometió al menos 75 PLC de la serie Unitronics Vision en Estados Unidos, Israel, Reino Unido e Irlanda como parte de la campaña. Lo hicieron explotando contraseñas predeterminadas.

Entre 2024 y 2025, el grupo desarrolló el kit de malware IOCONTROL, creado para ataques a OT y dispositivos del Internet de las Cosas (IoT). OpenAI afirmó en 2024 que los miembros del grupo utilizaron ChatGPT en el proceso de desarrollo.

CyberAv3ngers intensificó su actividad en 2026, dirigiéndose a infraestructuras críticas de EE. UU. a través de PLC de Rockwell Automation/Allen-Bradley a partir de marzo. La actualización de CISA del 22 de julio añadió los equipos de Schneider Electric y Siemens a la lista de objetivos potenciales.

En algunos casos, los ataques —que afectaron a múltiples sectores de infraestructuras críticas— interrumpieron las operaciones en las instalaciones afectadas, según informaron funcionarios federales, aunque no dieron detalles específicos sobre en qué consistieron dichas interrupciones.

CyberAv3ngers es conocido por atacar pequeñas instalaciones municipales y de agua, que los expertos consideran como los objetivos más fáciles de alcanzar en la infraestructura crítica de EE. UU.

Muchas instalaciones pequeñas y rurales carecen de recursos dedicados de ciberseguridad. Tenable señaló que algunos operadores gestionan entornos de OT utilizando software de acceso remoto como TeamViewer y AnyDesk o dejan sus PLC expuestos a la web.

"Estos métodos de acceso omiten completamente los controles de seguridad empresariales, creando una superficie de ataque que es invisible para la monitorización de seguridad convencional", afirmó Tenable.

Una segmentación deficiente entre los entornos de TI y OT también puede permitir que una sola intrusión se propague por gran parte de la red.

Fuente:
TheRegister