Attacchi AI-assistiti ai PLC Siemens S7: l'allarme di NSA, CISA e FBI per le infrastrutture critiche

Minaccia attiva, non teorica

Un avviso congiunto firmato da NSA, CISA, FBI, DOE ed EPA, identificato come AA26-231A e diffuso di recente, descrive attività di targeting in corso contro i controllori logici programmabili Siemens della serie S7 installati negli Stati Uniti. Non si tratta di una vulnerabilità teorica né di un proof-of-concept: gli attori conducono ricognizione e sviluppo di capacità contro impianti reali, usando script di exploit generati con intelligenza artificiale e mascherati da strumenti di monitoraggio legittimi.

L'advisory precisa che il fenomeno è più ampio del solo parco installato Siemens. Tutti i proprietari di PLC dovrebbero applicare le mitigazioni pertinenti; la parte dedicata a Siemens va considerata un sottoinsieme di un panorama di minaccia più esteso. Per individuare i dispositivi esposti, gli attori ricorrono a servizi di scansione Internet come Censys e ZoomEye, cercando PLC con software obsoleto o segmentazione insufficiente.

Modelli presi di mira: dall'S7-200 all'S7-1500

L'advisory elenca in modo esplicito i modelli coinvolti, coprendo gran parte della gamma S7:

• S7-200: tutte le varianti di CPU.
• S7-300: tutte le varianti, inclusi i modelli 314, 315 e 317.
• S7-400: tutte le varianti di CPU.
• S7-1200: CPU 1211C, 1212C, 1214C, 1215C e 1217C.
• S7-1500: tutte le varianti, compresi i controller di sicurezza della serie F.

La lista non è indicativa: riflette i modelli contro cui gli attori stanno testando e affinando le tecniche di compromissione. Per le serie S7-200 e S7-300, ormai datate ma ancora diffuse in impianti industriali, l'attenzione è particolarmente rilevante perché spesso non ricevono patch regolari.

Tecniche: AI, snap7.dll e S7comm

Il quadro tecnico è documentato con il framework MITRE ATT&CK for ICS versione 19, il framework Enterprise versione 19 e D3FEND versione 1.5.0. Le tecniche osservate si combinano in una catena che parte dalla ricognizione e arriva all'accesso in lettura e scrittura.

Gli attori usano la tecnica T1596.005 per identificare i PLC esposti tramite scansioni Internet. Iterano rapidamente il codice di exploit con sviluppo assistito da AI (T1587.004 e T1588.007), abbassando le barriere tecniche per chi non ha competenze ICS profonde. Sfruttano inoltre credenziali insicure, incluse quelle di default o configurazioni di autenticazione minime (T1694).

Il cuore dell'operazione è l'impiego di script Python generati con AI che incorporano la libreria snap7.dll, prelevata da repository pubblici, insieme a python-snap7. Questi script forniscono accesso in lettura e scrittura alla memoria del PLC S7, ai dati di configurazione e ai programmi ladder logic attraverso il protocollo S7comm. La tecnica è catalogata come T0834 e consente di imitare strumenti legittimi di monitoraggio OT (T0849). Gli attori compiono infine operazioni di lettura e scrittura sui blocchi dati (T0893 e T0821), potenzialmente per ricognizione, test di capacità o pre-posizionamento per effetti operativi.

Impatti possibili e settori nel mirino

L'advisory valuta che l'attività sia probabilmente finalizzata a una ricognizione persistente, con l'obiettivo di sviluppare capacità e prepararsi a causare effetti operativi contro infrastrutture critiche. Gli attori usano l'accesso in lettura per comprendere gli ambienti, preparando future operazioni di scrittura per interruzioni o altri impatti.

I settori statunitensi più presi di mira sono Critical Manufacturing, Energy, Water and Wastewater, Chemical, Food and Agriculture e Commercial Facilities. L'advisory cita anche la possibile esposizione della Defense Industrial Base, dato che i PLC S7 sono utilizzati in quel comparto.

Gli effetti di un accesso non autorizzato potrebbero includere: interruzione di processi industriali critici con ripercussioni su produzione, qualità e servizi pubblici; incidenti di sicurezza per il personale tramite manipolazione di interlock di sicurezza o sistemi di arresto di emergenza; danni alle apparecchiature e tempi di fermo prolungati; compromissione di dati operativi sensibili come ricette di processo e strategie di controllo; impatti a cascata su sistemi interconnessi; violazioni normative e responsabilità per carenze nella gestione della sicurezza di processo.

Cosa fare: mitigazioni prioritarie

L'advisory raccomanda una strategia di difesa in profondità che va oltre la semplice applicazione delle patch, anche perché l'attività sfrutta vulnerabilità note di severità critica e alta quando i dispositivi sono esposti o segmentati male.

Le azioni prioritarie indicate sono:

• inventariare tutti i PLC Siemens S7 presenti nell'organizzazione;
• applicare le patch di sicurezza critiche;
• assicurarsi che i PLC non siano raggiungibili da Internet;
• rafforzare i controlli di accesso;
• monitorare le attività non autorizzate;
• indurire servizi, protocolli e integrità della logica ladder;
• condurre caccia proattiva alle anomalie che possono indicare una compromissione.

Non è indicato alcun identificativo CVE univoco per questa campagna, né un inserimento nel catalogo CISA Known Exploited Vulnerabilities con scadenza specifica nel materiale diffuso. L'enfasi è sulla riduzione della superficie esposta e sul rilevamento comportamentale.

Indicatori da cercare: rilevamento e caccia

L'advisory fornisce opportunità di rilevamento concrete basate sulla piattaforma D3FEND D3-PM, utili per i team SOC e OT.

• Comportamento S7comm anomalo: connessioni provenienti da workstation non di ingegneria, pattern insoliti di accesso ai blocchi dati, operazioni di scrittura fuori dalle finestre di modifica autorizzate.
• Indicatori di ricognizione: scansione sequenziale IP sulla porta 102, tentativi di connessione ripetuti con parametri variabili, enumerazione delle proprietà della CPU.
• Artefatti di tool: presenza della libreria Snap7.dll al di fuori delle workstation di ingegneria approvate, script Python con funzionalità S7comm, installazioni di software di monitoraggio non autorizzate.
• Anomalie temporali: attività S7comm fuori dall'orario lavorativo, pattern di connessione compatibili con scripting automatico, modifiche di configurazione senza ordini di lavoro o change ticket.
• Anomalie geografiche: connessioni da Paesi inattesi o da intervalli IP non associati a vendor o integratori.

Questi indicatori sono pensati per intercettare la fase di ricognizione persistente prima che gli attori passino a operazioni di scrittura distruttive. Non sono disponibili ulteriori dettagli sulle misure preventive oltre a quelli riportati.