Хакери за допомогою ШІ атакують критичну інфраструктуру США

Невідомі кіберзлочинці за допомогою створених штучним інтелектом скриптів розгорнули масштабну атаку на підключені до інтернету програмовані логічні контролери (PLC) Siemens S7 Series — вони використовуються на підприємствах водопостачання, на виробництві, в енергетиці та на інших критично важливих об'єктах. П’ять федеральних відомств США охарактеризували інцидент як активну загрозу.

Джерело зображення: Philipp Katzenberger / unsplash.com

Зловмисники, які здійснюють вторгнення в критичну інфраструктуру США, використовують бібліотеки для завдань промислової автоматизації з відкритим вихідним кодом, зокрема snap7.dll/python-snap7, та скрипти, які розробляють ІІ-помічники для написання коду. На основі бібліотек з відкритим вихідним кодом вони створюють власні інструменти, що імітують ПЗ для моніторингу операційних технологій з доступом на читання та запис у пам’яті контролерів, до даних конфігурації та інших засобів через протокол S7comm.

«Це не теоретичний ризик — це активна загроза», — попередили влади США. Спільне попередження опублікували Агентство національної безпеки (АНБ), Агентство з кібербезпеки та захисту інфраструктури (CISA), Федеральне бюро розслідувань (ФБР), Міністерство енергетики (DOE) та Агентство з охорони навколишнього середовища (EPA). Про походження загрози нічого не повідомляється, але є версія, що це продовження розгорнутої в липні кібератаки, яку пов'язували з іранськими хакерами. Тоді постраждали контролери на водопровідних і каналізаційних спорудах щонайменше в 12 штатах; лише в Міннесоті була порушена робота більш ніж 30 комунальних систем водопостачання.

Джерело зображення: Adi Goldstein / unsplash.com

Нова серія атак спрямована на доступні через інтернет контролери Siemens S7 Series на критично важливих підприємствах з галузей виробництва, енергетики, водопостачання та каналізації, хімічної промисловості, харчової та сільськогосподарської галузей, а також на комерційних підприємствах. Йдеться про більшість критично важливих галузей, що надають товари та послуги, якими звичайні громадяни користуються в повсякденному житті. Для пошуку вразливих контролерів зловмисники користуються сервісами сканування Censys та ZoomEye, а для їх злому заручилися підтримкою ШІ.

Власникам та операторам цього обладнання рекомендовано терміново провести інвентаризацію всіх контролерів Siemens S7 Series, встановити необхідні оновлення безпеки та впевнитися, що всі вони недоступні з інтернету. Рекомендується перевіряти наявність аномальних дій у протоколі S7comm, наприклад, підключення з невідомих робочих станцій, незвичайні механізми доступу до даних та операцій з ними. На присутність зловмисників можуть вказувати послідовне сканування IP-адрес на порту 102 та повторні спроби підключення з різними параметрами.

Хочеш дізнатися більше — читай відгуки