Siemens S7 PLC: Ενεργή απειλή με εργαλεία τεχνητής νοημοσύνης

Οι αμερικανικές αρχές κυβερνοασφάλειας κρούουν τον κώδωνα του κινδύνου για μια νέα μορφή απειλής που συνδυάζει την τεχνητή νοημοσύνη με επιθέσεις εναντίον βιομηχανικών συστημάτων ελέγχου. Φορείς απειλών χρησιμοποιούν scripts που έχουν αναπτυχθεί με τη βοήθεια AI για να εντοπίζουν και να στοχεύουν programmable logic controllers (PLCs) Siemens S7, οι οποίοι χρησιμοποιούνται ευρέως σε κρίσιμες υποδομές των Ηνωμένων Πολιτειών.

Η NSA, η CISA, το FBI, το Υπουργείο Ενέργειας και η Υπηρεσία Προστασίας Περιβάλλοντος των ΗΠΑ εξέδωσαν κοινή προειδοποίηση, υπογραμμίζοντας ότι η συγκεκριμένη δραστηριότητα βρίσκεται σε εξέλιξη και απαιτεί άμεση αντιμετώπιση από τους οργανισμούς που διαχειρίζονται βιομηχανικά συστήματα.

Γιατί τα PLC αποτελούν κρίσιμο στόχο

Τα PLC είναι ουσιαστικά εξειδικευμένοι βιομηχανικοί υπολογιστές που αναλαμβάνουν τον αυτοματοποιημένο έλεγχο μηχανημάτων και φυσικών διαδικασιών. Μπορούν, για παράδειγμα, να ρυθμίζουν αντλίες νερού, βαλβίδες, κινητήρες, θερμοκρασίες ή άλλες λειτουργίες σε εγκαταστάσεις παραγωγής.

Δείτε επίσης: Kriminal.ai: Το «εγκληματικό AI» των 12,99$ που είναι απλά ο Grok με παρακαμπτόμενα φίλτρα

Αυτό σημαίνει ότι η παραβίασή τους δεν περιορίζεται απαραίτητα στην κλοπή ψηφιακών δεδομένων. Ένας εισβολέας που αποκτά πρόσβαση σε PLC μπορεί, ανάλογα με το επίπεδο ελέγχου που διαθέτει, να επηρεάσει πραγματικές λειτουργίες μιας εγκατάστασης, δημιουργώντας προβλήματα που μεταφέρονται από τον ψηφιακό στον φυσικό κόσμο.

Η τεχνητή νοημοσύνη επιταχύνει τις επιθέσεις

Σύμφωνα με την προειδοποίηση, οι επιτιθέμενοι αξιοποιούν εργαλεία τεχνητής νοημοσύνης για να δημιουργούν scripts σε Python, τα οποία μπορούν να επικοινωνούν με PLC Siemens S7 μέσω βιβλιοθηκών όπως οι «snap7.dll» και «python-snap7».

Η χρήση AI δεν σημαίνει απαραίτητα ότι η επίθεση πραγματοποιείται αυτόνομα. Το σημαντικότερο στοιχείο είναι ότι η τεχνολογία μπορεί να μειώσει τον χρόνο και την τεχνική προσπάθεια που απαιτούνται για την ανάπτυξη εξειδικευμένων εργαλείων. Έτσι, περισσότεροι φορείς απειλών μπορούν να πειραματιστούν με βιομηχανικά συστήματα που στο παρελθόν απαιτούσαν σημαντική τεχνογνωσία.

Μεταμφιεσμένα εργαλεία και πρόσβαση στη μνήμη

Οι αμερικανικές υπηρεσίες αναφέρουν ότι ορισμένα από τα εργαλεία εμφανίζονται ως νόμιμο λογισμικό παρακολούθησης περιβαλλόντων OT, γεγονός που μπορεί να δυσκολέψει τον εντοπισμό τους.

Μέσω του πρωτοκόλλου S7comm, τα εργαλεία μπορούν να επιτρέψουν λειτουργίες ανάγνωσης και εγγραφής στη μνήμη των PLC, πρόσβαση σε δεδομένα διαμόρφωσης και αλληλεπίδραση με προγράμματα ladder logic. Η δυνατότητα εγγραφής είναι ιδιαίτερα κρίσιμη, καθώς μπορεί να επιτρέψει την τροποποίηση της λογικής με την οποία λειτουργεί ένας βιομηχανικός αυτοματισμός.

Ποιους τομείς αφορά η απειλή

Η δραστηριότητα δεν περιορίζεται σε έναν συγκεκριμένο κλάδο. Στο στόχαστρο βρίσκονται εγκαταστάσεις κρίσιμης μεταποίησης, ενέργειας, ύδρευσης και επεξεργασίας λυμάτων, χημικής βιομηχανίας, τροφίμων και γεωργίας, αλλά και εμπορικές εγκαταστάσεις.

Δείτε επίσης: SilkParasite: Κατασκοπεία σε κυβερνήσεις Κεντρικής Ασίας με 5 νέα RATs

Παράλληλα, η χρήση Siemens S7 στην αμυντική βιομηχανική βάση δημιουργεί πρόσθετες ανησυχίες, καθώς μία επιτυχημένη διείσδυση θα μπορούσε να προσφέρει στους επιτιθέμενους πληροφορίες για βιομηχανικές διαδικασίες ή να δημιουργήσει επιχειρησιακές διαταραχές.

Η αναγνώριση προηγείται πιθανής επίθεσης

Οι αρχές εκτιμούν ότι μεγάλο μέρος της δραστηριότητας αφορά συνεχή “αναγνώριση” συστημάτων. Οι επιτιθέμενοι χρησιμοποιούν υπηρεσίες όπως οι Censys και ZoomEye για να εντοπίζουν συσκευές που είναι ορατές από το διαδίκτυο και στη συνέχεια εξετάζουν πιθανές αδυναμίες, παρωχημένο λογισμικό ή ανεπαρκείς μηχανισμούς ελέγχου ταυτότητας.

Το στάδιο αυτό μπορεί να αποτελεί προετοιμασία για μελλοντικές επιθέσεις, οι οποίες θα μπορούσαν να οδηγήσουν σε κλοπή δεδομένων, ζημιές στον εξοπλισμό, παρατεταμένες διακοπές λειτουργίας ή ακόμη και περιστατικά με επιπτώσεις στη φυσική ασφάλεια.

Πέντε σειρές Siemens S7 στο στόχαστρο

Η προειδοποίηση αφορά ενεργά τα PLC των σειρών S7-200, S7-300, S7-400, S7-1200 και S7-1500. Οι οργανισμοί καλούνται να καταγράψουν όλες τις σχετικές συσκευές, να εφαρμόσουν διαθέσιμες ενημερώσεις ασφαλείας και, κυρίως, να αποφεύγουν την άμεση έκθεσή τους στο διαδίκτυο.

Παράλληλα, απαιτείται αυστηρότερος έλεγχος πρόσβασης, διαχωρισμός των δικτύων IT και OT και συνεχής παρακολούθηση για ασυνήθιστες συνδέσεις ή αλλαγές στη λειτουργία των PLC.

Δείτε επίσης: Elementor Pro: Κρίσιμη ευπάθεια επιτρέπει RCE χωρίς authentication

Οι πρόσφατες επιθέσεις δείχνουν την τάση

Η προειδοποίηση έρχεται σε μια περίοδο κατά την οποία αυξάνονται οι επιθέσεις εναντίον εκτεθειμένων PLC. Τον Ιούλιο, περισσότερες από 30 εταιρείες ύδρευσης στη Μινεσότα βρέθηκαν στο στόχαστρο, με περιστατικά που προκάλεσαν δυσλειτουργίες και ανάγκασαν ορισμένες εγκαταστάσεις να επιστρέψουν προσωρινά σε χειροκίνητη λειτουργία.

Τον Απρίλιο, αμερικανικές υπηρεσίες είχαν προειδοποιήσει επίσης για επιθέσεις που συνδέονταν με φορείς απειλών από το Ιράν και στόχευαν PLC Rockwell Automation και Allen-Bradley.

Η εικόνα που διαμορφώνεται είναι σαφής: τα βιομηχανικά συστήματα δεν αποτελούν πλέον «αόρατο» τμήμα της ψηφιακής υποδομής. Όσο περισσότερες συσκευές OT συνδέονται ή παραμένουν προσβάσιμες από το διαδίκτυο, τόσο αυξάνεται η πιθανότητα να εντοπιστούν από αυτοματοποιημένες εκστρατείες αναγνώρισης. Η είσοδος της AI σε αυτή την εξίσωση ενδέχεται να κάνει τις επιθέσεις ταχύτερες, φθηνότερες και ευκολότερα επεκτάσιμες, καθιστώντας την προστασία των PLC ζήτημα όχι μόνο κυβερνοασφάλειας, αλλά και επιχειρησιακής και φυσικής ασφάλειας.

πηγή: www.bleepingcomputer.com