Ataques asistidos por IA a los PLC Siemens S7: la alerta de NSA, CISA y FBI para las infraestructuras críticas

Amenaza activa, no teórica

Un aviso conjunto firmado por NSA, CISA, FBI, DOE y EPA, identificado como AA26-231A y difundido recientemente, describe actividades de focalización en curso contra los controladores lógicos programables Siemens de la serie S7 instalados en Estados Unidos. No se trata de una vulnerabilidad teórica ni de una prueba de concepto: los actores llevan a cabo reconocimiento y desarrollo de capacidades contra instalaciones reales, utilizando scripts de explotación generados con inteligencia artificial y camuflados como herramientas legítimas de monitoreo.

El aviso precisa que el fenómeno es más amplio que el parque instalado de Siemens. Todos los propietarios de PLC deberían aplicar las mitigaciones pertinentes; la parte dedicada a Siemens debe considerarse un subconjunto de un panorama de amenazas más extenso. Para identificar los dispositivos expuestos, los actores recurren a servicios de escaneo de Internet como Censys y ZoomEye, buscando PLC con software obsoleto o segmentación insuficiente.

Modelos objetivo: del S7-200 al S7-1500

El aviso enumera explícitamente los modelos afectados, cubriendo gran parte de la gama S7:

• S7-200: todas las variantes de CPU.
• S7-300: todas las variantes, incluidos los modelos 314, 315 y 317.
• S7-400: todas las variantes de CPU.
• S7-1200: CPU 1211C, 1212C, 1214C, 1215C y 1217C.
• S7-1500: todas las variantes, incluidos los controladores de seguridad de la serie F.

La lista no es indicativa: refleja los modelos contra los que los actores están probando y perfeccionando las técnicas de compromiso. Para las series S7-200 y S7-300, anticuadas pero aún extendidas en instalaciones industriales, la atención es especialmente relevante porque a menudo no reciben parches regulares.

Técnicas: IA, snap7.dll y S7comm

El marco técnico está documentado con el framework MITRE ATT&CK for ICS versión 19, el framework Enterprise versión 19 y D3FEND versión 1.5.0. Las técnicas observadas se combinan en una cadena que parte del reconocimiento y llega al acceso de lectura y escritura.

Los actores usan la técnica T1596.005 para identificar los PLC expuestos mediante escaneos de Internet. Iteran rápidamente el código de explotación con desarrollo asistido por IA (T1587.004 y T1588.007), reduciendo las barreras técnicas para quienes no tienen competencias profundas en ICS. Además explotan credenciales inseguras, incluidas las predeterminadas o configuraciones de autenticación mínimas (T1694).

El núcleo de la operación es el uso de scripts de Python generados con IA que incorporan la librería snap7.dll, tomada de repositorios públicos, junto con python-snap7. Estos scripts proporcionan acceso de lectura y escritura a la memoria del PLC S7, a los datos de configuración y a los programas de lógica ladder a través del protocolo S7comm. La técnica está catalogada como T0834 y permite imitar herramientas legítimas de monitoreo OT (T0849). Los actores finalmente realizan operaciones de lectura y escritura en los bloques de datos (T0893 y T0821), potencialmente para reconocimiento, prueba de capacidades o preposicionamiento para efectos operativos.

Impactos posibles y sectores en el punto de mira

El aviso evalúa que la actividad probablemente esté dirigida a un reconocimiento persistente, con el objetivo de desarrollar capacidades y prepararse para causar efectos operativos contra infraestructuras críticas. Los actores usan el acceso de lectura para comprender los entornos, preparando futuras operaciones de escritura para interrupciones u otros impactos.

Los sectores estadounidenses más atacados son Critical Manufacturing, Energy, Water and Wastewater, Chemical, Food and Agriculture y Commercial Facilities. El aviso también cita la posible exposición de la Defense Industrial Base, dado que los PLC S7 se utilizan en ese sector.

Los efectos de un acceso no autorizado podrían incluir: interrupción de procesos industriales críticos con repercusiones en producción, calidad y servicios públicos; incidentes de seguridad para el personal mediante la manipulación de enclavamientos de seguridad o sistemas de parada de emergencia; daños en los equipos y tiempos de inactividad prolongados; compromisión de datos operativos sensibles como recetas de proceso y estrategias de control; impactos en cascada sobre sistemas interconectados; violaciones normativas y responsabilidad por deficiencias en la gestión de la seguridad de procesos.

Qué hacer: mitigaciones prioritarias

El aviso recomienda una estrategia de defensa en profundidad que va más allá de la simple aplicación de parches, también porque la actividad explota vulnerabilidades conocidas de severidad crítica y alta cuando los dispositivos están expuestos o mal segmentados.

Las acciones prioritarias indicadas son:

• inventariar todos los PLC Siemens S7 presentes en la organización;
• aplicar los parches de seguridad críticos;
• asegurarse de que los PLC no sean accesibles desde Internet;
• reforzar los controles de acceso;
• monitorear las actividades no autorizadas;
• endurecer servicios, protocolos e integridad de la lógica ladder;
• realizar caza proactiva de anomalías que puedan indicar una compromisión.

No se indica ningún identificador CVE único para esta campaña, ni una inclusión en el catálogo CISA Known Exploited Vulnerabilities con fecha límite específica en el material difundido. El énfasis está en la reducción de la superficie expuesta y en la detección comportamental.

Indicadores a buscar: detección y caza

El aviso proporciona oportunidades de detección concretas basadas en la plataforma D3FEND D3-PM, útiles para los equipos SOC y OT.

• Comportamiento S7comm anómalo: conexiones provenientes de estaciones de trabajo que no son de ingeniería, patrones inusuales de acceso a los bloques de datos, operaciones de escritura fuera de las ventanas de modificación autorizadas.
• Indicadores de reconocimiento: escaneo secuencial de IP en el puerto 102, intentos de conexión repetidos con parámetros variables, enumeración de las propiedades de la CPU.
• Artefactos de herramientas: presencia de la librería Snap7.dll fuera de las estaciones de trabajo de ingeniería aprobadas, scripts de Python con funcionalidad S7comm, instalaciones de software de monitoreo no autorizadas.
• Anomalías temporales: actividad S7comm fuera del horario laboral, patrones de conexión compatibles con scripting automático, modificaciones de configuración sin órdenes de trabajo o tickets de cambio.
• Anomalías geográficas: conexiones desde países inesperados o desde rangos de IP no asociados a proveedores o integradores.

Estos indicadores están diseñados para interceptar la fase de reconocimiento persistente antes de que los actores pasen a operaciones de escritura destructivas. No se dispone de más detalles sobre las medidas preventivas más allá de los indicados.