Im Mittelpunkt der Warnung stehen Siemens-S7-200-, S7-300-, S7-400-, S7-1200- und S7-1500-Steuerungen. PLCs sind Industriecomputer, die Maschinen und physische Prozesse in Fabriken und anderer kritischer Infrastruktur automatisieren und steuern. Das Advisory wurde am Mittwoch von NSA, CISA, FBI, dem Department of Energy und der Environmental Protection Agency veröffentlicht.
Wörtlich erklären die Behörden, die Mitteilung beziehe sich auf „eine aktive Bedrohung für speicherprogrammierbare Steuerungen der Siemens-S7-Serie“. Zugleich schränken sie ein, dass die laufenden Aktivitäten gegen PLCs breiter angelegt seien als nur gegen Siemens-Systeme. Betreiber und Eigentümer aller PLCs sollten daher geeignete Gegenmaßnahmen umsetzen, um das Risiko für ihre Geräte und Systeme zu senken.
Nach Angaben der Behörden nutzen die Angreifer Internet-Scanning-Dienste wie Censys und ZoomEye, um exponierte Siemens-PLCs aufzuspüren. Anschließend würden kritische und schwerwiegende Schwachstellen, veraltete Softwarestände und schwache Authentifizierungsmechanismen ausgenutzt.
Besonders hervor hebt das Advisory den Einsatz künstlicher Intelligenz. Demnach erstellen die Angreifer damit Python-Skripte zur Ausnutzung der Steuerungen. Diese Skripte verwenden die Bibliotheken „snap7.dll“ und „python-snap7“, um mit Siemens-S7-Geräten zu kommunizieren.
Die dabei eingesetzten Werkzeuge sind laut den Behörden als legitime OT-Überwachungssoftware getarnt. Tatsächlich können sie über das S7comm-Protokoll Lese- und Schreibzugriffe auf den PLC-Speicher, Konfigurationsdaten und Ladder-Logic-Programme ermöglichen.
Die beobachtete Aktivität wirke auf anhaltende Aufklärung und Vorbereitung ausgelegt. Nach Einschätzung der Behörden könnte dies Angreifer in die Lage versetzen, Störungen in kritischer Infrastruktur vorzubereiten, darunter den Diebstahl sensibler Daten, Beschädigungen von Ausrüstung, längere Ausfallzeiten oder sicherheitsrelevante Zwischenfälle.
Den am stärksten betroffenen Bereichen ordnen die Behörden kritische Fertigung, Energie, Wasser- und Abwassersysteme, Chemie, Lebensmittel und Landwirtschaft sowie gewerbliche Einrichtungen zu. Außerdem verweisen sie darauf, dass Siemens-S7-PLCs auch in der verteidigungsindustriellen Basis verwendet werden.
Als Gegenmaßnahmen empfehlen die Behörden, Siemens-S7-PLCs zunächst vollständig zu inventarisieren, die neuesten Sicherheitsupdates einzuspielen, den Internetzugang zu blockieren, Zugriffskontrollen zu verschärfen und die Geräte gezielt auf ungewöhnliche Aktivitäten zu überwachen.
Das Advisory folgt auf eine jüngste Zunahme von Angriffen auf offen erreichbare PLCs in US-Organisationen der kritischen Infrastruktur. Im Juli griffen Hacker mehr als 30 Wasserversorger in Minnesota an, was zu Fehlfunktionen von Geräten führte und einige Anlagen zwang, vorübergehend auf manuellen Betrieb umzuschalten. CISA warnte später vor einer Zunahme von Angriffen auf internetexponierte PLCs in Wasser- und Abwasserbetrieben.
Bereits früher im April hatten US-Behörden zudem gewarnt, dass mit Iran verbundene Hacker internetexponierte Rockwell-Automation-/Allen-Bradley-PLCs ins Visier nehmen. Laut dieser Warnung kam es dadurch in mehreren Sektoren kritischer Infrastruktur zu Störungen und finanziellen Verlusten.