Im Mittelpunkt der Warnung stehen Siemens-S7-PLC-Systeme. NSA, FBI und weitere US-Behörden erklären, die laufende Kampagne werde durch „KI-gestützte Entwicklung“ zusammen mit der Ausnutzung bekannter Schwachstellen vorangetrieben. In der Warnmeldung heißt es wörtlich, dies sei „kein theoretisches Risiko, sondern eine aktive Bedrohung“.
Die Behörden nennen dabei mehrere mögliche Folgen einer Ausnutzung unzureichend geschützter PLCs. Je nach Einzelfall könne es zu Störungen kritischer Industrieprozesse, Sicherheitsvorfällen, Ausfallzeiten oder Geräteschäden kommen. Ebenfalls erwähnt die Warnung die Gefährdung sensibler Daten, Compliance-Verstöße und Kaskadeneffekte über vernetzte Systeme hinweg.
Laut der Warnung nutzen die Angreifer künstliche Intelligenz, um Exploit-Skripte zu erzeugen, die ihnen Zugang zu Zugangsdaten und weiteren Angriffspfaden verschaffen. Die Behörden bewerten diesen KI-Einsatz als „Weiterentwicklung der Fähigkeiten von Bedrohungsakteuren“, weil er den technischen Aufwand und die Zeit zur Entwicklung funktionsfähiger Exploit-Skripte und bösartiger Werkzeuge für industrielle Steuerungssysteme drastisch reduziere.
Hinzu kommt nach Darstellung der Behörden, dass KI Angreifern helfe, sich schnell an Abwehrmaßnahmen anzupassen. Teilweise könnten sie dadurch maßgeschneiderte Werkzeuge erstellen, die wie legitime Monitoring-Lösungen für Betriebstechnik aussehen. In der Warnung heißt es außerdem, die beobachteten Angriffe seien „wahrscheinlich als dauerhafte Aufklärung in den anvisierten Sektoren und Einrichtungen gedacht, um Fähigkeiten aufzubauen und operative Wirkungen gegen kritische Infrastruktur vorzubereiten“.
Eine Zuschreibung an einen konkreten Akteur nimmt die Warnung nicht vor. Sie ordnet die aktuelle Bedrohung aber in ein breiteres Muster ein: Bereits im Juli hatten US-Behörden erklärt, dass mit Iran verbundene Hacker PLCs mehrerer Hersteller ins Visier nähmen, neben Siemens auch Schneider Electric, Rockwell Automation und Allen-Bradley. Die neue Warnung betont ausdrücklich, dass die Siemens-spezifischen Inhalte nur als ein Teil einer größeren Bedrohungslage zu verstehen seien.
Betroffen ist laut Quelle nicht nur der Bereich Wasser und Abwasser. Siemens-PLCs werden demnach auch in Stromversorgung, Fertigung und in erheblichem Umfang in der Verteidigungsindustrie eingesetzt. Zwei Wochen zuvor hatten Dutzende Wasserversorger in mindestens zwölf US-Bundesstaaten Cyber-Eindringversuche gemeldet, die mutmaßlich iranische Akteure betrafen, die PLCs attackierten. Die aktuelle Warnung scheint die Kampagne über Wasser- und Abwasseranlagen hinaus auszuweiten.
Als Gegenmaßnahmen empfehlen die Behörden, PLCs vom Internet zu isolieren, sämtliche Patches einzuspielen und Sicherheitswerkzeuge zur Überwachung verdächtiger Aktivitäten zu aktivieren. Der Industrieexperte Brian Proctor, Chef des auf Pentests für Betriebstechnik spezialisierten Unternehmens Frenos, sagte, KI habe die Zeitspanne zwischen veröffentlichter Schwachstelle und funktionsfähigem Skript in den Händen von Personen verkürzt, die ein solches Werkzeug früher nicht selbst hätten schreiben können. Außerdem weise die Warnung darauf hin, dass viele Endnutzer gar nicht wüssten, dass ihre PLCs exponiert seien, weil die Exponierung durch einen Drittanbieter verursacht worden sei.