Siemens S7-1500

米国のサイバーセキュリティ機関は、脅威アクターがAIで生成されたスクリプトを用いて、米国の重要インフラに設置されたシーメンス社製S7シリーズのプログラマブル・ロジック・コントローラ（PLC）を悪用していると警告している。

PLCとは、工場やその他の重要インフラにおいて、機械や物理的プロセスの自動化および制御に使用される産業用コンピュータである。

NSA、CISA、FBI、エネルギー省、および環境保護庁は水曜日に共同勧告を発表し、攻撃が現在も続いていると述べた。

image

「本勧告は、シーメンス社製S7シリーズのプログラマブル・ロジック・コントローラ（PLC）に対する現在進行中の脅威に関するものです」と勧告には記されている。

「しかし、現在進行中のPLCを標的とした活動は、シーメンス製PLCにとどまらない。すべてのPLCの所有者および運用者は、自社のデバイスやシステムに対するリスクを軽減するために、適切な対策を講じるべきである。」

最も標的とされやすい重要インフラ分野には、重要製造業、エネルギー、上下水道システム、化学、食品・農業、および商業施設が含まれる。各機関はまた、シーメンスS7 PLCが国防産業基盤でも使用されており、こちらも標的となる可能性があると指摘している。

脅威アクターは、CensysやZoomEyeなどのインターネットスキャンサービスを利用して、外部にさらされているシーメンス製PLCを探し出し、重大および高深刻度の脆弱性、古いソフトウェア、脆弱な認証を悪用している。

この勧告によると、攻撃者は人工知能（AI）を用いて、Siemens S7 PLCデバイスと通信するために「snap7.dll」および「python-snap7」ライブラリを利用するPython製エクスプロイトスクリプトを開発している。

これらのカスタムツールは、正当なOT監視ソフトウェアを装っており、S7commプロトコルを介してPLCのメモリ、構成データ、ラダーロジックプログラムへの読み取りおよび書き込みアクセス権限を取得することができる。

関係機関によると、この活動は持続的な偵察に重点が置かれているようであり、機密データの窃取、機器の損傷、長期にわたる稼働停止、あるいは安全上の事故の引き起こしなど、重要インフラへの妨害を攻撃者が準備している可能性があるという。

現在、標的とされているデバイスには、シーメンスのS7-200、S7-300、S7-400、S7-1200、およびS7-1500 PLCが含まれます。

各組織に対し、シーメンス製S7 PLCの台数把握、最新のセキュリティ更新プログラムの適用、インターネットアクセスの遮断、アクセス制御の強化、およびこれらのデバイスを標的とした異常な活動の監視が強く推奨される。

今回の勧告は、米国の重要インフラ組織において、外部に露出しているPLCを標的とした攻撃が最近増加していることを受けたものです。

7 月には、ハッカーがミネソタ州の 30 以上の水道事業者を標的とし、機器の誤作動を引き起こし、一部の施設では一時的に手動操作への切り替えを余儀なくされました。

その後、CISAは、上下水道事業者が使用するインターネットに公開されたPLCに対する攻撃が増加していることを警告した。

それより前の4月には、米政府機関が、イランと関連のあるハッカーがインターネットに露出しているロックウェル・オートメーション／アレン・ブラッドリー製のPLCを標的にしており、複数の重要インフラ分野で業務の混乱や金銭的損失を引き起こしていると警告していました。