Wprowadzenie do problemu / definicja
Sterowniki PLC z rodziny Siemens S7 należą do kluczowych elementów automatyki przemysłowej wykorzystywanych w produkcji, energetyce, infrastrukturze krytycznej oraz gospodarce wodno-ściekowej. Najnowsze ostrzeżenia pokazują, że urządzenia te znalazły się w centrum aktywnej kampanii rozpoznawczej, w której napastnicy wykorzystują skrypty generowane lub wspomagane przez sztuczną inteligencję.
Istota problemu nie sprowadza się wyłącznie do klasycznych podatności. Równie poważnym czynnikiem ryzyka pozostaje ekspozycja sterowników do Internetu, niewystarczająca segmentacja sieci oraz nadużywanie legalnych bibliotek komunikacyjnych stosowanych w środowiskach przemysłowych.
W skrócie
Wspólne ostrzeżenie amerykańskich agencji federalnych opisuje aktywne działania wymierzone w sterowniki Siemens S7 działające w środowiskach infrastruktury krytycznej. Atakujący wykorzystują narzędzia i skrypty przypominające legalne oprogramowanie do monitoringu OT, co znacząco utrudnia wykrycie.
Szczególnie niebezpieczne jest użycie publicznie dostępnych bibliotek do komunikacji po protokole S7comm, zwłaszcza wobec urządzeń wystawionych do Internetu oraz systemów działających na nieaktualnym oprogramowaniu. To zagrożenie ma charakter operacyjny i może stanowić etap przygotowawczy do bardziej destrukcyjnych działań.
Kontekst / historia
Rodzina Siemens S7 od lat pozostaje szeroko stosowana w systemach ICS i SCADA, obsługując procesy technologiczne w zakładach przemysłowych, instalacjach energetycznych, obiektach uzdatniania wody oraz liniach produkcyjnych. Z uwagi na znaczenie tych urządzeń dla ciągłości działania i bezpieczeństwa procesów stanowią one atrakcyjny cel zarówno dla cyberprzestępców, jak i bardziej zaawansowanych aktorów prowadzących działania przygotowawcze lub sabotażowe.
Obecne ostrzeżenie zwraca uwagę na szeroki zakres objętych ryzykiem urządzeń, w tym także modeli stosowanych w środowiskach o podwyższonych wymaganiach bezpieczeństwa. To ważne, ponieważ skutki potencjalnego naruszenia mogą wykraczać poza poufność danych procesowych i obejmować zakłócenie działania instalacji, przestoje produkcyjne, uszkodzenie sprzętu, a nawet wpływ na bezpieczeństwo ludzi.
Nowym elementem w krajobrazie zagrożeń jest wykorzystanie AI do przyspieszania działań ofensywnych. Sztuczna inteligencja nie zastępuje wiedzy operatora ataku, ale może skrócić czas potrzebny na przygotowanie skryptów, automatyzację rekonesansu oraz dostosowanie technik do konkretnego modelu sterownika i środowiska pracy.
Analiza techniczna
Z opisu kampanii wynika, że napastnicy rozpoczynają od rekonesansu sterowników PLC dostępnych z Internetu. Szczególne znaczenie ma tu port TCP/102 wykorzystywany przez protokół S7comm. Po identyfikacji dostępnych systemów atakujący sięgają po legalne i publicznie dostępne biblioteki, takie jak snap7.dll czy python-snap7, aby komunikować się bezpośrednio ze sterownikami.
To podejście jest wyjątkowo groźne, ponieważ wykorzystywane narzędzia nie muszą być klasyfikowane jako złośliwe oprogramowanie. W wielu organizacjach mogą wyglądać jak standardowe komponenty administracyjne, testowe lub inżynierskie. Jeśli dodatkowo skrypty są generowane lub modyfikowane przez AI, przeciwnik zyskuje większą elastyczność i szybszy cykl dostosowywania technik do zabezpieczeń ofiary.
Opisane działania koncentrują się obecnie głównie na fazie odczytu i mapowania środowiska. Obejmuje to zbieranie informacji o konfiguracji sterownika, parametrach urządzenia, danych pamięci oraz logice sterowania. Taki rekonesans może służyć do przygotowania kolejnych etapów operacji.
- Identyfikacja typu CPU i wersji środowiska.
- Określenie topologii procesu technologicznego.
- Zrozumienie zależności między sterownikami i systemami nadrzędnymi.
- Przygotowanie przyszłych operacji zapisu lub modyfikacji logiki.
- Sprawdzenie, które ścieżki komunikacyjne pozostają niewidoczne dla monitoringu.
Dodatkowym utrudnieniem dla obrońców jest maskowanie aktywności jako legalnego monitoringu OT. Ruch sieciowy i zachowanie skryptów mogą przypominać działanie narzędzi inżynierskich lub serwisowych, przez co rozróżnienie pomiędzy zwykłą administracją a przygotowaniem ataku staje się znacznie trudniejsze bez dobrze zdefiniowanego wzorca normalnej komunikacji.
Konsekwencje / ryzyko
Z perspektywy bezpieczeństwa OT opisana kampania może być wstępem do bardziej destrukcyjnych operacji. Sam rekonesans nie musi od razu powodować awarii, ale dostarcza napastnikom wiedzy niezbędnej do przejścia z etapu obserwacji do aktywnej ingerencji w proces technologiczny.
- Modyfikacja logiki sterowania PLC.
- Zmiana parametrów procesu technologicznego.
- Zakłócenie działania interlocków i mechanizmów bezpieczeństwa.
- Zatrzymanie linii produkcyjnych lub instalacji przemysłowych.
- Uszkodzenie urządzeń wykonawczych.
- Efekt domina w połączonych łańcuchach dostaw i usługach krytycznych.
Największe ryzyko dotyczy organizacji, które mają urządzenia bezpośrednio dostępne z Internetu, nieaktualne oprogramowanie, ograniczony monitoring protokołów przemysłowych oraz niepełną inwentaryzację zasobów OT. Istotnym sygnałem ostrzegawczym może być również obecność bibliotek snap7 lub procesów Python na hostach, gdzie nie powinny się pojawiać w normalnym trybie pracy.
Rekomendacje
Organizacje wykorzystujące Siemens S7 powinny potraktować ostrzeżenie jako sygnał do pilnego przeglądu ekspozycji i mechanizmów ochronnych. Najważniejsze działania operacyjne obejmują zarówno kontrolę widoczności urządzeń, jak i wzmocnienie monitoringu oraz zarządzania dostępem.
- Przeprowadzić pełną inwentaryzację sterowników S7, stacji inżynierskich, serwerów SCADA i połączeń zdalnych.
- Zweryfikować, czy jakiekolwiek komponenty OT są osiągalne bezpośrednio z Internetu.
- Zablokować ruch na TCP/102 wszędzie tam, gdzie nie jest absolutnie wymagany.
- Wdrożyć ścisłą segmentację pomiędzy IT, DMZ i OT.
- Ograniczyć uprawnienia kont serwisowych i zastosować odpowiednie poziomy ochrony na sterownikach.
- Monitorować nietypowe sesje S7comm pochodzące z urządzeń niebędących standardowymi stacjami inżynierskimi.
- Analizować operacje odczytu i zapisu PLC wykonywane poza oknami utrzymaniowymi.
- Wykrywać obecność bibliotek snap7 oraz procesów Python na systemach, gdzie nie mają uzasadnienia biznesowego.
- Zweryfikować połączenia i uprawnienia partnerów zewnętrznych oraz dostawców zdalnego wsparcia.
- Uzgodnić z producentem oraz zespołami utrzymania bezpieczną ścieżkę aktualizacji i hardeningu.
W dojrzałych organizacjach szczególne znaczenie ma zbudowanie wzorca normalnego ruchu S7comm. Dopiero na tej podstawie można wiarygodnie odróżnić legalne działania inżynierskie od aktywności rozpoznawczej prowadzonej przez przeciwnika.
Podsumowanie
Ostrzeżenie dotyczące aktywnych ataków wspomaganych przez AI na sterowniki Siemens S7 pokazuje, że zagrożenia dla środowisk ICS i SCADA wchodzą w nową fazę. Kluczowym problemem staje się dziś połączenie ekspozycji do Internetu, nadużywania legalnych narzędzi komunikacyjnych oraz przyspieszenia działań ofensywnych dzięki sztucznej inteligencji.
Dla operatorów infrastruktury krytycznej oznacza to konieczność natychmiastowej weryfikacji dostępności sterowników, kontroli zdalnego dostępu, monitorowania ruchu przemysłowego oraz przeglądu mechanizmów ochronnych. W środowiskach OT czas reakcji i jakość inwentaryzacji bezpośrednio przekładają się na odporność operacyjną całej organizacji.
Źródła
- https://securityaffairs.com/197566/ics-scada/nsa-cisa-fbi-doe-and-epa-warn-of-active-ai-assisted-attacks-on-siemens-s7-plcs.html
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-231a
- https://www.siemens.com/global/en/products/services/cert.html