PLC Siemens sotto attacco: l’AI accelera la ricognizione contro le infrastrutture critiche

Un’allerta federale per una minaccia già attiva

NSA, FBI e altre agenzie federali statunitensi hanno lanciato un’allerta sulle attività di ricognizione contro organizzazioni che gestiscono infrastrutture critiche. Il documento, identificato come AA26-231A, riguarda in particolare i PLC Siemens della serie S7.

L’avviso invita gli operatori a intervenire con urgenza. Non descrive infatti uno scenario puramente teorico: gli attori stanno già cercando dispositivi Siemens esposti e stanno sviluppando strumenti per sfruttarne le debolezze.

I PLC, o controllori logici programmabili, comandano apparecchiature e processi fisici. Possono gestire pompe, valvole, motori e linee produttive, oltre a raccogliere dati sul funzionamento di un impianto. Un accesso non autorizzato non equivale quindi soltanto alla compromissione di un computer: può tradursi nella perdita del controllo operativo su un processo industriale.

L’advisory non attribuisce la campagna a uno specifico gruppo criminale o Paese. Le agenzie parlano di attori non identificati impegnati contro installazioni Siemens situate negli Stati Uniti.

Come operano gli attaccanti

La prima fase osservata è la ricognizione. Gli aggressori impiegano piattaforme di scansione Internet per individuare PLC raggiungibili direttamente dalla rete pubblica, una configurazione rischiosa per qualsiasi sistema di tecnologia operativa.

Una volta scoperti i dispositivi, gli operatori possono raccogliere informazioni sull’ambiente, cercare vulnerabilità note e identificare possibili percorsi verso credenziali o altri sistemi collegati. Gli script di exploit vengono inoltre mascherati da strumenti legittimi di monitoraggio operativo.

Questa tecnica punta a confondersi con le normali attività di amministrazione e supervisione. Un tool malevolo può apparire come un programma destinato a controllare lo stato di un impianto, mentre in realtà tenta di ottenere accesso, aumentare i privilegi o preparare ulteriori azioni.

Secondo l’allerta, l’obiettivo immediato sembra essere il mantenimento di una presenza negli impianti selezionati. La ricognizione consentirebbe agli attaccanti di comprendere reti, dispositivi e processi prima di tentare operazioni con effetti fisici.

La sequenza è significativa. Se il gruppo riuscisse a completare la fase preparatoria senza essere individuato, l’attacco successivo potrebbe richiedere risorse limitate.

Il ruolo dell’intelligenza artificiale

L’intelligenza artificiale viene utilizzata per generare script capaci di interagire con i PLC, sfruttare vulnerabilità e ottenere credenziali o ulteriori vie di accesso. Le agenzie statunitensi ritengono che questo approccio riduca sia il livello di competenza necessario sia il tempo per produrre codice funzionante contro sistemi industriali.

L’AI può anche modificare rapidamente gli strumenti in risposta alle contromisure. Se un’organizzazione blocca un comportamento o riconosce una determinata firma, gli attaccanti possono tentare di creare una variante più difficile da distinguere dal software legittimo.

Brian Proctor, amministratore delegato della società di penetration testing OT Frenos, ha evidenziato proprio la riduzione dell’intervallo tra la pubblicazione di una vulnerabilità e la disponibilità di uno script utilizzabile. Una persona senza esperienza sufficiente nello sviluppo di exploit potrebbe così ottenere un supporto operativo significativo.

Nel contesto industriale, il problema non riguarda soltanto la velocità. I sistemi OT sono spesso eterogenei, longevi e collegati a processi fisici che non possono essere messi offline facilmente. La possibilità di generare strumenti personalizzati aumenta quindi il numero di soggetti potenzialmente in grado di tentare un’intrusione.

L’uso dell’AI non implica che ogni fase sia automatizzata. Restano necessari accesso alla rete, conoscenza dell’impianto e capacità di selezionare gli obiettivi. Tuttavia, la tecnologia può comprimere drasticamente i tempi della preparazione.

Quali impianti sono esposti

I PLC Siemens S7 sono utilizzati in numerosi comparti:

• produzione e distribuzione dell’energia;
• trattamento e distribuzione dell’acqua;
• agricoltura;
• manifattura;
• industria della difesa.

Il rischio può coinvolgere sia il dispositivo direttamente esposto sia i sistemi connessi alla sua rete OT. Un PLC compromesso potrebbe permettere di alterare parametri, interrompere processi o sottrarre informazioni sull’impianto.

Non sono state rese note versioni specifiche dei prodotti Siemens interessati. L’avviso non identifica neppure una singola vulnerabilità o un identificativo CVE associato alla campagna. Non è quindi possibile stabilire, sulla base delle informazioni disponibili, quali release siano vulnerabili o se l’attività sfrutti una sola falla.

Il perimetro della minaccia è inoltre più ampio di Siemens. A luglio le agenzie federali avevano segnalato attività attribuite ad attori affiliati all’Iran contro PLC di Schneider Electric, Rockwell Automation e Allen-Bradley, oltre che contro dispositivi Siemens.

Due settimane fa, decine di utility dell’acqua distribuite in almeno 12 Stati avevano segnalato intrusioni orientate contro PLC e attribuite a presunti operatori iraniani. La nuova allerta sembra estendere il campo d’azione oltre gli impianti idrici, includendo altri settori industriali e infrastrutture critiche.

Gli impatti possibili vanno oltre il furto di dati

Un attacco a un PLC può causare il blocco di un processo, il danneggiamento delle apparecchiature o un’interruzione operativa prolungata. In determinati contesti può anche creare condizioni per incidenti di sicurezza.

L’avviso richiama uno scenario particolarmente delicato: il personale potrebbe perdere la visibilità sul processo fisico mentre il processo continua a funzionare. La sala controllo non vedrebbe più correttamente lo stato dell’impianto e non sarebbe in grado di intervenire con tempestività.

Gli effetti potrebbero estendersi ai sistemi interconnessi, con conseguenze a cascata. Sono possibili anche la compromissione di dati sensibili e violazioni degli obblighi di conformità, ma il danno principale potrebbe essere operativo anziché informativo.

Un ulteriore elemento di rischio riguarda i fornitori. Un’organizzazione può ritenere di non avere PLC direttamente accessibili e scoprire invece che l’esposizione è stata introdotta da un integratore, da un manutentore o da un partner tecnologico.

Il catalogo KEV della CISA non è menzionato nell’allerta disponibile. Non è quindi noto se una specifica vulnerabilità collegata a questa attività sia stata inserita nel catalogo delle falle sfruttate, né se esistano una data di inserimento o una scadenza di remediation associate.

Le priorità per gli operatori OT

La prima misura consiste nell’eliminare l’esposizione diretta dei PLC a Internet, quando non sia indispensabile. L’accesso remoto deve passare da architetture controllate, con segmentazione, autenticazione forte e monitoraggio.

Le organizzazioni dovrebbero inoltre:

1. installare tutte le patch disponibili per PLC e componenti correlati;
2. censire i dispositivi Siemens S7 e gli altri controllori presenti negli impianti;
3. verificare l’esposizione introdotta da fornitori e integratori;
4. attivare strumenti di monitoraggio capaci di rilevare scansioni e comportamenti anomali;
5. cercare software che imiti strumenti legittimi di supervisione;
6. preparare procedure per operare in caso di perdita della visibilità o del controllo del processo.

La risposta non dovrebbe limitarsi alla rete IT. I team devono controllare anche configurazioni OT, accessi dei manutentori, collegamenti tra segmenti e sistemi di supervisione.

Le indicazioni dell’avviso AA26-231A vanno applicate anche agli ambienti che utilizzano PLC Schneider Electric, Rockwell Automation e Allen-Bradley. La campagna descritta contro Siemens appare infatti come una componente di una minaccia più estesa, non come un episodio isolato.