CISA, NSA ו-FBI מזהירים: AI מייצר סקריפטים לתקיפת בקרי Siemens S7 בתשתיות קריטיות

סוכנויות הסייבר האמריקאיות CISA, NSA ו-FBI, יחד עם משרד האנרגיה ו-EPA, פרסמו ייעוץ משותף על קמפיין תקיפה פעיל נגד בקרי PLC מסדרת Siemens S7 בתשתיות קריטיות בארה״ב. זו הפעם הראשונה ש-CISA מציינת במפורש קמפיין תקיפה נגד תשתיות תפעוליות (OT) המסתייע בבינה מלאכותית ליצירת כלי הניצול עצמם.

בקר תעשייתי על לוח בקרה עם התראות וסרטי קוד

הפרטים

לפי הייעוץ, התוקפים משתמשים בשירותי סריקת אינטרנט כמו Censys ו-ZoomEye כדי לאתר בקרי S7 החשופים לרשת הציבורית דרך פורט 102, או מבודדים בצורה לא מספקת מרשת הארגון. את המידע הזה הם מזינים לכלי בינה מלאכותית שמייצרים באופן אוטומטי סקריפטים בשפת Python, מבוססי ספריות קוד פתוח כמו snap7, ומחופשים לתוכנת ניטור תפעולית לגיטימית. הסקריפטים מאפשרים גישת קריאה וכתיבה לזיכרון הבקר, לתצורה שלו ולתוכנית ה-ladder logic שמנחה את הציוד הפיזי – בלי להפעיל מנגנוני זיהוי נוזקות רגילים.

הקמפיין פוגע במשפחות בקרים נפוצות – S7-200, S7-300, S7-400, S7-1200 ו-S7-1500, כולל בקרי הבטיחות מסדרת F – הנפוצים במפעלי ייצור, מתקני אנרגיה, טיפול במים ותעשיות נוספות. הסקטורים המוגדרים בסיכון הגבוה ביותר הם ייצור קריטי, אנרגיה, מים וביוב, כימיה, מזון וחקלאות, ומתקנים מסחריים.

נקודות לשים לב

ודאו שאף בקר S7 אינו חשוף ישירות לאינטרנט; אפשר לבדוק זאת דרך כלי כמו Shodan או Censys על ידי חיפוש פורט 102 בטווח הכתובות הארגוני.
הפרידו (segment) בין רשת התפעול (OT) לרשת הארגונית הרגילה, ואל תסתמכו על בידוד חלקי בלבד.
עקבו אחרי תעבורת S7comm חריגה, בייחוד תוכנות ניטור לא מוכרות שמתקשרות עם הבקרים – כך זוהתה הפעילות הזדונית מלכתחילה.
מדובר בניצול תצורה חשופה קיימת, לא בפגיעות (CVE) חדשה שדורשת תיקון – כך שאין עדכון להתקין; ההגנה כאן היא ברשת ובניהול הגישה, לא בטלאי.
ארגונים בתעשייה, אנרגיה ומים צריכים להתייחס לייעוץ כדחוף גם אם לא זוהתה עדיין פגיעה ישירה אצלם.