Les automates Siemens ciblés : l’IA accélère la reconnaissance contre les infrastructures critiques

Une alerte fédérale face à une menace déjà active

La NSA, le FBI et d’autres agences fédérales américaines ont lancé une alerte concernant des activités de reconnaissance visant des organisations qui gèrent des infrastructures critiques. Le document, identifié sous la référence AA26-231A, concerne notamment les automates Siemens de la gamme S7.

L’avis appelle les opérateurs à agir rapidement. Il ne décrit pas un scénario purement théorique : des acteurs recherchent déjà des équipements Siemens exposés et développent des outils pour exploiter leurs faiblesses.

Les PLC, ou automates programmables industriels, commandent des équipements et des processus physiques. Ils peuvent gérer des pompes, des vannes, des moteurs et des lignes de production, tout en collectant des données sur le fonctionnement d’une installation. Un accès non autorisé ne se limite donc pas à la compromission d’un ordinateur : il peut entraîner la perte du contrôle opérationnel d’un processus industriel.

L’avis ne rattache pas la campagne à un groupe criminel ou à un pays précis. Les agences évoquent des acteurs non identifiés ciblant des installations Siemens situées aux États-Unis.

Comment les attaquants opèrent

La première phase observée est la reconnaissance. Les attaquants utilisent des plateformes de scan Internet pour identifier les PLC directement accessibles depuis le réseau public, une configuration à haut risque pour tout système de technologie opérationnelle.

Une fois les équipements repérés, les opérateurs peuvent recueillir des informations sur l’environnement, rechercher des vulnérabilités connues et identifier d’éventuels chemins vers des identifiants ou d’autres systèmes connectés. Les scripts d’exploitation sont également dissimulés sous l’apparence d’outils légitimes de supervision opérationnelle.

Cette technique vise à se fondre dans les activités habituelles d’administration et de supervision. Un outil malveillant peut sembler destiné à contrôler l’état d’une installation, alors qu’il tente en réalité d’obtenir un accès, d’élever ses privilèges ou de préparer d’autres actions.

Selon l’alerte, l’objectif immédiat semble être de maintenir une présence dans les installations ciblées. La reconnaissance permettrait aux attaquants de comprendre les réseaux, les équipements et les processus avant de tenter des opérations aux conséquences physiques.

Cette séquence est importante. Si le groupe parvient à terminer la phase préparatoire sans être détecté, l’attaque ultérieure pourrait nécessiter des ressources limitées.

Le rôle de l’intelligence artificielle

L’intelligence artificielle est utilisée pour générer des scripts capables d’interagir avec les PLC, d’exploiter des vulnérabilités et d’obtenir des identifiants ou d’autres voies d’accès. Les agences américaines estiment que cette approche réduit à la fois le niveau de compétence requis et le temps nécessaire pour produire du code fonctionnel ciblant des systèmes industriels.

L’IA peut également modifier rapidement les outils en réponse aux contre-mesures. Si une organisation bloque un comportement ou reconnaît une signature donnée, les attaquants peuvent tenter de créer une variante plus difficile à distinguer d’un logiciel légitime.

Brian Proctor, directeur général de la société de tests d’intrusion OT Frenos, a notamment souligné la réduction du délai entre la publication d’une vulnérabilité et la disponibilité d’un script exploitable. Une personne ne disposant pas d’une expérience suffisante en développement d’exploits pourrait ainsi bénéficier d’un soutien opérationnel important.

Dans le contexte industriel, le problème ne concerne pas uniquement la vitesse. Les systèmes OT sont souvent hétérogènes, conçus pour fonctionner longtemps et reliés à des processus physiques qui ne peuvent pas facilement être mis hors ligne. La capacité à générer des outils personnalisés augmente donc le nombre d’acteurs susceptibles de tenter une intrusion.

L’utilisation de l’IA ne signifie pas que toutes les étapes sont automatisées. Il faut toujours disposer d’un accès au réseau, connaître l’installation et savoir sélectionner les cibles. La technologie peut toutefois réduire considérablement la durée de la phase de préparation.

Quelles installations sont exposées

Les PLC Siemens S7 sont utilisés dans de nombreux secteurs :

• production et distribution d’énergie ;
• traitement et distribution de l’eau ;
• agriculture ;
• industrie manufacturière ;
• industrie de la défense.

Le risque peut concerner aussi bien l’équipement directement exposé que les systèmes connectés à son réseau OT. Un PLC compromis pourrait permettre de modifier des paramètres, d’interrompre des processus ou de dérober des informations sur l’installation.

Aucune version précise des produits Siemens concernés n’a été communiquée. L’avis n’identifie pas non plus de vulnérabilité particulière ni d’identifiant CVE associé à la campagne. Il n’est donc pas possible de déterminer, sur la base des informations disponibles, quelles versions sont vulnérables ou si l’activité exploite une seule faille.

Le périmètre de la menace dépasse par ailleurs Siemens. En juillet, les agences fédérales avaient signalé des activités attribuées à des acteurs affiliés à l’Iran contre des PLC de Schneider Electric, Rockwell Automation et Allen-Bradley, ainsi que contre des équipements Siemens.

Il y a deux semaines, des dizaines de services des eaux répartis dans au moins 12 États avaient signalé des intrusions visant des PLC et attribuées à de prétendus opérateurs iraniens. La nouvelle alerte semble élargir le champ d’action au-delà des installations hydrauliques, en incluant d’autres secteurs industriels et infrastructures critiques.

Les conséquences possibles vont au-delà du vol de données

Une attaque contre un PLC peut provoquer l’arrêt d’un processus, endommager des équipements ou entraîner une interruption prolongée des opérations. Dans certains contextes, elle peut également créer des conditions propices à des accidents de sécurité.

L’avis décrit un scénario particulièrement préoccupant : le personnel pourrait perdre la visibilité sur le processus physique alors que celui-ci continue de fonctionner. La salle de contrôle ne verrait plus correctement l’état de l’installation et ne pourrait pas intervenir rapidement.

Les effets pourraient s’étendre aux systèmes interconnectés et provoquer des conséquences en cascade. Une compromission de données sensibles et des violations des obligations de conformité sont également possibles, mais les dommages pourraient être avant tout opérationnels plutôt qu’informationnels.

Les fournisseurs constituent un autre facteur de risque. Une organisation peut penser ne pas disposer de PLC directement accessibles et découvrir que l’exposition a été introduite par un intégrateur, un prestataire de maintenance ou un partenaire technologique.

Le catalogue KEV de la CISA n’est pas mentionné dans l’alerte disponible. On ignore donc si une vulnérabilité précise liée à cette activité a été ajoutée au catalogue des failles exploitées, ou si une date d’ajout et une échéance de remédiation lui sont associées.

Les priorités pour les opérateurs OT

La première mesure consiste à supprimer l’exposition directe des PLC à Internet lorsqu’elle n’est pas indispensable. L’accès distant doit s’effectuer au moyen d’architectures contrôlées, avec segmentation, authentification forte et supervision.

Les organisations devraient également :

1. installer tous les correctifs disponibles pour les PLC et les composants associés ;
2. inventorier les équipements Siemens S7 et les autres automates présents dans les installations ;
3. vérifier les expositions introduites par les fournisseurs et les intégrateurs ;
4. déployer des outils de supervision capables de détecter les scans et les comportements anormaux ;
5. rechercher les logiciels qui imitent des outils légitimes de supervision ;
6. préparer des procédures permettant de fonctionner en cas de perte de visibilité ou de contrôle du processus.

La réponse ne doit pas se limiter au réseau IT. Les équipes doivent également contrôler les configurations OT, les accès des prestataires de maintenance, les connexions entre segments et les systèmes de supervision.

Les recommandations de l’avis AA26-231A doivent également s’appliquer aux environnements utilisant des PLC Schneider Electric, Rockwell Automation et Allen-Bradley. La campagne décrite contre Siemens semble en effet constituer un volet d’une menace plus large, et non un incident isolé.