Menace active contre les automates Siemens S7 : des scripts d’IA et des scans Internet préparent de possibles attaques industrielles

Les agences américaines signalent une activité en cours

La CISA, la NSA, le FBI, le Department of Energy et l’Environmental Protection Agency ont publié le 19 août 2026 l’avis AA26-231A, consacré à une menace active visant des installations industrielles reposant sur des automates Siemens S7.

Les opérateurs mènent des activités de reconnaissance et développent des outils offensifs avec l’aide de l’intelligence artificielle. Les scripts sont également déguisés en applications légitimes de supervision des environnements OT, afin de dissimuler leur présence aux équipes de sécurité.

La campagne cible des équipements directement exposés à Internet, insuffisamment segmentés ou mis à jour, ou encore protégés par des identifiants faibles. Les agences soulignent qu’il ne s’agit pas d’une simple hypothèse théorique : les activités sont en cours et peuvent également concerner des systèmes de contrôle industriel autres que les Siemens S7.

L’utilisation de l’IA accélère la collecte d’informations, la génération de code et l’adaptation des outils aux défenses rencontrées. Il n’est pas nécessaire de posséder un niveau élevé de compétence en développement logiciel industriel pour créer des outils capables d’interagir avec un automate vulnérable ou mal configuré.

Quelles familles Siemens S7 sont concernées

L’activité observée concerne de nombreuses familles d’automates Siemens :

• S7-200, dans toutes les variantes de CPU ;
• S7-300, dans toutes les variantes de CPU, notamment les modèles 314, 315 et 317 ;
• S7-400, dans toutes les variantes de CPU ;
• S7-1200, notamment les CPU 1211C, 1212C, 1214C, 1215C et 1217C ;
• S7-1500, dans toutes les variantes de CPU, y compris les automates de sécurité de la série F.

Cette liste comprend donc des plateformes déployées dans des installations présentant différents niveaux d’ancienneté et de capacités. La présence d’un modèle dans cette liste ne signifie pas que chaque équipement est automatiquement compromis, mais identifie les familles soumises à des opérations de reconnaissance et de test par les acteurs.

Les outils analysés combinent des scripts Python générés ou adaptés avec l’aide de l’IA et des composants open source utilisés pour l’automatisation industrielle. Parmi les éléments cités figurent snap7.dll et python-snap7, des bibliothèques permettant de communiquer avec les automates via le protocole S7comm.

De la reconnaissance à la manipulation de la logique de contrôle

Une fois la communication établie, les outils peuvent effectuer des opérations de lecture et d’écriture sur différents éléments de l’automate. Les données accessibles comprennent notamment :

• la mémoire de l’automate ;
• les paramètres et données de configuration ;
• les programmes en logique Ladder ;
• les blocs de données.

La lecture peut servir à comprendre l’architecture de l’installation, à vérifier les opérations possibles et à préparer les actions suivantes. Même sans modifier immédiatement le processus, l’accès aux données peut fournir aux acteurs une cartographie opérationnelle de l’environnement industriel.

L’écriture présente en revanche un risque direct pour le fonctionnement du système. La modification des blocs de données, de la configuration ou de la logique de contrôle peut changer le comportement d’une ligne de production, interrompre un processus ou créer des conditions imprévues pour les machines et les opérateurs.

L’activité observée inclut la recherche d’identifiants par défaut encore actifs, de paramètres d’authentification minimaux et d’autres contrôles d’accès insuffisants. Les acteurs repèrent également les équipements accessibles publiquement à l’aide de services de scan tels que Censys et ZoomEye.

Le déguisement des scripts en outils de supervision OT constitue une difficulté supplémentaire. Une activité apparemment liée à la surveillance de l’installation peut en réalité dissimuler du code destiné à la reconnaissance ou à l’interaction avec les automates.

L’avis rattache la campagne aux matrices MITRE ATT&CK for ICS et MITRE ATT&CK for Enterprise, toutes deux en version 19, ainsi qu’à MITRE D3FEND 1.5.0. Les techniques comprennent l’utilisation de services de scan, le développement et l’acquisition de capacités offensives, l’exploitation d’identifiants non sécurisés, l’accès aux systèmes ICS, le camouflage ainsi que la lecture ou l’écriture de données et de programmes industriels.

Secteurs exposés et conséquences possibles

Les organisations américaines principalement concernées opèrent dans la fabrication critique, l’énergie, les services d’eau et le traitement des eaux usées. La liste comprend également les secteurs chimique, agroalimentaire et agricole, ainsi que les installations commerciales.

Une exposition peut échapper au propriétaire de l’installation lorsqu’elle dépend de connexions gérées par des prestataires externes. Les intégrateurs de systèmes, les mainteneurs et les fournisseurs de services à distance peuvent en effet conserver des accès aux automates ou configurer des équipements rendant le réseau OT accessible sans visibilité complète pour l’organisation propriétaire.

L’avis n’associe pas la menace à des identifiants CVE spécifiques et ne fournit pas de score numérique de gravité. Il signale toutefois la présence de vulnérabilités connues de sévérité élevée ou critique dans les automates concernés, en particulier lorsque les équipements sont exposés à Internet ou insuffisamment isolés.

Les impacts potentiels comprennent l’interruption de processus industriels, les arrêts de production, l’endommagement des équipements et les incidents de sécurité. Une compromission de données sensibles, des manquements aux obligations de conformité et des effets en cascade sur des systèmes interconnectés sont également possibles.

Les agences décrivent ce comportement comme une forme de reconnaissance persistante. Les acteurs semblent tester des modèles spécifiques afin d’augmenter leurs chances de réussite et de préparer de futures opérations susceptibles de provoquer des interruptions ou d’autres effets physiques et opérationnels.

L’avis ne signale pas l’ajout de cette activité au catalogue KEV de la CISA et n’indique aucune échéance KEV pour les mesures à prendre. La priorité opérationnelle découle donc du caractère actif de la reconnaissance et de l’exposition éventuelle des équipements, plutôt que d’une date de remédiation figurant dans le catalogue.

Les vérifications à lancer dans les installations

La première mesure consiste à établir un inventaire complet des automates Siemens S7, en indiquant le modèle, la variante de CPU, la version logicielle, le propriétaire, les connexions réseau et les modalités d’accès à distance. L’inventaire devrait également inclure les équipements accessibles via des infrastructures gérées par des tiers.

Les opérateurs devraient ensuite :

1. appliquer les mises à jour de sécurité critiques disponibles pour les automates et les composants associés ;
2. supprimer l’accessibilité directe depuis Internet ;
3. séparer les réseaux OT des réseaux publics et limiter les flux aux seules connexions nécessaires ;
4. remplacer les identifiants par défaut ou faibles ;
5. désactiver les accès à distance non indispensables ;
6. protéger l’intégrité de la logique Ladder, des programmes et des configurations ;
7. contrôler les privilèges accordés aux fournisseurs et aux intégrateurs.

La surveillance doit se concentrer sur les lectures ou écritures inattendues dans les blocs de données, les accès inhabituels aux automates, les connexions provenant d’Internet et les outils imitant des applications de supervision OT.

Il convient également de rechercher les scripts Python non autorisés ainsi que la présence de composants tels que snap7.dll ou python-snap7 sur les postes de travail, les serveurs et les systèmes utilisés pour la gestion industrielle. Leur présence ne suffit pas à démontrer une compromission : elle peut être légitime dans certains environnements, mais doit être vérifiée par rapport à l’inventaire logiciel et aux activités autorisées.

Enfin, les mêmes mesures doivent être appliquées aux automates d’autres fabricants. La campagne observée cible concrètement les systèmes S7, mais les agences décrivent une capacité de ciblage plus large contre les systèmes de contrôle industriel.