Die technische Warnung stammt von NSA, CISA, FBI, EPA und DOE und enthält nach Angaben der Behörden Details sowie Empfehlungen zum Schutz betroffener Umgebungen. Demnach suchen die unbekannten Akteure im Internet gezielt nach erreichbaren Siemens-PLCs und arbeiten an Exploits, die erhebliche Störungen industrieller Abläufe verursachen könnten.

Als weitere mögliche Folgen nennen die Behörden Schäden an Anlagen, Sicherheitsvorfälle mit Auswirkungen auf Beschäftigte, die Kompromittierung sensibler Daten sowie Kaskadeneffekte für Lieferketten, verbundene Einrichtungen und Geschäftsabläufe. Die beobachteten Aktivitäten richten sich laut Warnung gegen Organisationen in den Bereichen Energie, kritische Fertigung, Wasser und Abwasser, Lebensmittel und Landwirtschaft, Chemie sowie kommerzielle Einrichtungen.

Konkret nennen die Behörden Siemens-Steuerungen der Serien S7-200, S7-300, S7-400, S7-1200 und S7-1500 als Zielsysteme; für die meisten davon unabhängig von der jeweiligen CPU-Variante. Die Angreifer nutzen den Angaben zufolge KI, um Skripte für den Erstzugang, den Zugriff auf Zugangsdaten, Denial-of-Service-Angriffe und weitere Zwecke zu erzeugen. Zudem könnten sie bekannte Schwachstellen in den betroffenen PLCs ausnutzen.

Laut Warnung kombinieren die Akteure offene Bibliotheken für industrielle Automatisierung wie snap7.dll und python-snap7 mit KI-erzeugten Skripten. So entstünden Werkzeuge, die legitime OT-Überwachungssoftware nachahmen. Mit diesen Werkzeugen könnten Angreifer den Speicher der anvisierten Siemens-PLCs manipulieren sowie Konfigurationsdaten und Ladder-Logic-Programme verändern.

Die Behörden bewerten den Einsatz von KI als Weiterentwicklung der Fähigkeiten der Angreifer. In der Warnung heißt es, die Erstellung von Exploit-Skripten mit KI senke den notwendigen technischen Aufwand und die Entwicklungszeit für funktionsfähige ICS-Exploits und bösartige Werkzeuge drastisch. Außerdem ermögliche KI, zusätzliche Angriffsvektoren schnell zu nutzen und auf Abwehrmaßnahmen zu reagieren. Angreifer könnten öffentlich verfügbare Informationen über Schwachstellen und Schwächen leicht sammeln, exponierte und ausnutzbare PLCs finden und mit KI-generierten Skripten auf dieser Grundlage handeln.

Gleichzeitig halten die Behörden fest, dass es sich um eine aktive Bedrohung und nicht nur um ein theoretisches Risiko handelt. Hinweise auf bereits beobachtete Angriffe mit gravierenden Auswirkungen nennt die Warnung jedoch nicht. Stattdessen gehen die Behörden davon aus, dass die Akteure eine „anhaltende Aufklärung“ betreiben, um spätere Angriffe vorzubereiten, die störend oder zerstörerisch sein könnten.

Organisationen mit Siemens- und anderen PLCs sollen nach Empfehlung der Behörden die neuesten Patches installieren, Systeme nur dann mit dem Internet verbinden, wenn dies notwendig ist, und starke Zugriffskontrollen umsetzen. Zusätzlich empfehlen die Behörden Sicherheitsprodukte, die ICS-Umgebungen auf bösartige Aktivitäten überwachen können.

Die hinter den Aktivitäten stehenden Akteure werden in der Warnung nicht namentlich genannt. Der Hinweis erfolgt jedoch vor dem Hintergrund einer Reihe iranbezogener Angriffe auf den Wassersektor in den USA. Nach Angaben im Quelltext gab es in mindestens 12 US-Bundesstaaten Angriffe auf OT-Systeme, bestätigte Fälle von Unterbrechungen der Wasserversorgung liegen jedoch nicht vor. CISA hatte den Wasser- und Abwassersektor bereits aufgefordert, OT besonders im Bereich der PLCs zu schützen. Etwa zur gleichen Zeit warnte die US-Regierung zudem vor iranischen Hackern, die PLCs von Siemens, Schneider Electric und Rockwell Automation ins Visier nehmen.