KI-gestützte Angriffe auf Siemens S7-SPS: Die Warnung von NSA, CISA und FBI für kritische Infrastrukturen

Aktive Bedrohung, nicht theoretisch

Eine gemeinsame Warnung von NSA, CISA, FBI, DOE und EPA, die als AA26-231A identifiziert und kürzlich veröffentlicht wurde, beschreibt laufende Targeting-Aktivitäten gegen speicherprogrammierbare Steuerungen (SPS) der Siemens S7-Serie, die in den USA installiert sind. Es handelt sich nicht um eine theoretische Schwachstelle oder einen Proof-of-Concept: Die Akteure führen Aufklärung und Fähigkeitsentwicklung gegen reale Anlagen durch, wobei sie mit künstlicher Intelligenz generierte Exploit-Skripte verwenden, die als legitime Überwachungswerkzeuge getarnt sind.

Die Warnung stellt klar, dass das Phänomen über den reinen Siemens-Bestand hinausgeht. Alle Eigentümer von SPS sollten die entsprechenden Gegenmaßnahmen anwenden; der auf Siemens bezogene Teil ist als Teilmenge einer umfassenderen Bedrohungslandschaft zu betrachten. Um exponierte Geräte zu lokalisieren, nutzen die Akteure Internet-Scan-Dienste wie Censys und ZoomEye und suchen nach SPS mit veralteter Software oder unzureichender Segmentierung.

Anvisierte Modelle: vom S7-200 bis zum S7-1500

Die Warnung führt die betroffenen Modelle ausdrücklich auf und deckt einen Großteil der S7-Produktpalette ab:

• S7-200: alle CPU-Varianten.
• S7-300: alle Varianten, einschließlich der Modelle 314, 315 und 317.
• S7-400: alle CPU-Varianten.
• S7-1200: CPU 1211C, 1212C, 1214C, 1215C und 1217C.
• S7-1500: alle Varianten, einschließlich der Sicherheitssteuerungen der F-Serie.

Die Liste ist nicht als Richtwert zu verstehen: Sie spiegelt die Modelle wider, gegen die die Akteure Kompromittierungstechniken testen und verfeinern. Für die Serien S7-200 und S7-300, die zwar veraltet, aber in Industrieanlagen noch weit verbreitet sind, ist die Aufmerksamkeit besonders relevant, da sie häufig keine regelmäßigen Patches erhalten.

Techniken: KI, snap7.dll und S7comm

Das technische Bild wird mit dem MITRE ATT&CK for ICS Framework Version 19, dem Enterprise Framework Version 19 und D3FEND Version 1.5.0 dokumentiert. Die beobachteten Techniken kombinieren sich zu einer Kette, die von der Aufklärung bis zum Lese- und Schreibzugriff reicht.

Die Akteure verwenden die Technik T1596.005, um exponierte SPS über Internet-Scans zu identifizieren. Sie iterieren Exploit-Code schnell mit KI-gestützter Entwicklung (T1587.004 und T1588.007), wodurch die technischen Hürden für Personen ohne tiefgreifende ICS-Kenntnisse gesenkt werden. Darüber hinaus nutzen sie unsichere Anmeldeinformationen aus, einschließlich Standard-Anmeldeinformationen oder minimalen Authentifizierungskonfigurationen (T1694).

Der Kern der Operation ist der Einsatz von KI-generierten Python-Skripten, die die Bibliothek snap7.dll aus öffentlichen Repositories sowie python-snap7 einbinden. Diese Skripte ermöglichen Lese- und Schreibzugriff auf den Speicher der S7-SPS, auf Konfigurationsdaten und auf Kontaktplan-Programme über das S7comm-Protokoll. Die Technik ist als T0834 katalogisiert und erlaubt es, legitime OT-Überwachungswerkzeuge zu imitieren (T0849). Schließlich führen die Akteure Lese- und Schreiboperationen auf Datenbausteinen durch (T0893 und T0821), möglicherweise zur Aufklärung, zum Fähigkeitstest oder zur Vorbereitung auf operative Auswirkungen.

Mögliche Auswirkungen und betroffene Sektoren

Die Warnung bewertet die Aktivität wahrscheinlich als auf eine dauerhafte Aufklärung ausgerichtet, mit dem Ziel, Fähigkeiten zu entwickeln und sich darauf vorzubereiten, operative Auswirkungen auf kritische Infrastrukturen zu verursachen. Die Akteure nutzen den Lesezugriff, um die Umgebungen zu verstehen, und bereiten zukünftige Schreiboperationen für Unterbrechungen oder andere Auswirkungen vor.

Die am stärksten betroffenen US-amerikanischen Sektoren sind Critical Manufacturing, Energy, Water and Wastewater, Chemical, Food and Agriculture und Commercial Facilities. Die Warnung erwähnt auch die mögliche Betroffenheit der Defense Industrial Base, da S7-SPS in diesem Bereich eingesetzt werden.

Die Auswirkungen eines unbefugten Zugriffs könnten Folgendes umfassen: Unterbrechung kritischer Industrieprozesse mit Auswirkungen auf Produktion, Qualität und öffentliche Dienstleistungen; Sicherheitsvorfälle für das Personal durch Manipulation von Sicherheitsverriegelungen oder Not-Aus-Systemen; Schäden an Anlagen und längere Ausfallzeiten; Kompromittierung sensibler Betriebsdaten wie Prozessrezepte und Steuerungsstrategien; Kaskadeneffekte auf miteinander verbundene Systeme; Verstöße gegen Vorschriften und Haftung für Mängel im Prozesssicherheitsmanagement.

Was zu tun ist: vorrangige Gegenmaßnahmen

Die Warnung empfiehlt eine Defense-in-Depth-Strategie, die über das bloße Einspielen von Patches hinausgeht, auch weil die Aktivität bekannte Schwachstellen mit kritischem und hohem Schweregrad ausnutzt, wenn Geräte exponiert oder schlecht segmentiert sind.

Die genannten vorrangigen Maßnahmen sind:

• alle in der Organisation vorhandenen Siemens S7-SPS inventarisieren;
• kritische Sicherheitspatches einspielen;
• sicherstellen, dass die SPS nicht aus dem Internet erreichbar sind;
• Zugriffskontrollen verstärken;
• unbefugte Aktivitäten überwachen;
• Dienste, Protokolle und die Integrität der Kontaktplan-Logik härten;
• proaktiv nach Anomalien jagen, die auf eine Kompromittierung hindeuten können.

Es wird keine eindeutige CVE-Kennung für diese Kampagne angegeben, noch eine Aufnahme in den CISA-Katalog 'Known Exploited Vulnerabilities' mit einem bestimmten Fälligkeitsdatum im veröffentlichten Material. Der Schwerpunkt liegt auf der Verringerung der exponierten Angriffsfläche und auf der Verhaltenserkennung.

Zu suchende Indikatoren: Erkennung und Hunting

Die Warnung bietet konkrete Erkennungsmöglichkeiten basierend auf der D3FEND-Plattform D3-PM, die für SOC- und OT-Teams nützlich sind.

• Anomales S7comm-Verhalten: Verbindungen von Nicht-Engineering-Workstations, ungewöhnliche Zugriffsmuster auf Datenbausteine, Schreiboperationen außerhalb der autorisierten Änderungsfenster.
• Aufklärungsindikatoren: sequentielles IP-Scannen auf Port 102, wiederholte Verbindungsversuche mit variablen Parametern, Aufzählung von CPU-Eigenschaften.
• Tool-Artefakte: Vorhandensein der Bibliothek Snap7.dll außerhalb zugelassener Engineering-Workstations, Python-Skripte mit S7comm-Funktionalität, nicht autorisierte Installationen von Überwachungssoftware.
• Zeitliche Anomalien: S7comm-Aktivität außerhalb der Arbeitszeiten, Verbindungsmuster, die mit automatischem Scripting kompatibel sind, Konfigurationsänderungen ohne Arbeitsaufträge oder Change-Tickets.
• Geografische Anomalien: Verbindungen aus unerwarteten Ländern oder aus IP-Bereichen, die nicht mit Anbietern oder Integratoren in Verbindung stehen.

Diese Indikatoren sind darauf ausgelegt, die Phase der dauerhaften Aufklärung abzufangen, bevor die Akteure zu destruktiven Schreiboperationen übergehen. Über die bereits genannten hinaus sind keine weiteren Details zu den Präventivmaßnahmen verfügbar.