米連邦政府機関は、イランと関係のある脅威アクターが重要インフラ全体にわたりインターネットに露出したプログラマブルロジックコントローラー(PLC)を標的にし、正規のエンジニアリングソフトウェアを使って産業用オペレーションを改ざんしていると緊急警告を発しました。
この活動は政府施設、上下水道関連組織、エネルギー部門の環境に影響を及ぼしており、一部のケースでは業務の中断や金銭的損失を引き起こしています。
このキャンペーンは、Rockwell Automation/Allen-Bradley、Schneider Electric、Siemens、そしておそらく他のメーカーのPLCも標的にしています。
影響を受けた機種には、Rockwell CompactLogixおよびMicro850コントローラー、Schneider Electric BMX P34/Modicon M340システム、Siemens S7-1200 PLCが含まれます。
攻撃者は独自マルウェアだけに頼るのではなく、リースしたサードパーティ製インフラから正規のベンダー製設定プラットフォームを使用していたと報告されています。
これにはRockwell AutomationのStudio 5000 Logix Designer、Schneider ElectricのEcoStruxure Control Expert、SiemensのTotally Integrated Automation Portalが含まれます。
これらのツールにより、脅威アクターは適切に保護されていないPLCに接続し、コントローラーのプロジェクトファイルを取得できました。プロジェクトファイルを入手した後、攻撃者はコントローラーのロジックを改変または削除しました。
観測されたある侵入事例では、悪意のあるプロジェクトファイルが下流機能を維持するのに十分なラダーロジックを保持しつつ、安全な運転パラメータを担う命令セットを上書きするコードを追加していました。
この勧告では、ヒューマンマシンインターフェース(HMI)や監視制御・データ収集(SCADA)ディスプレイに表示される情報の改ざんについても詳しく説明しています。こうした干渉は、産業プロセスの実際の状態についてオペレーターを誤認させ、危険な変化への対応を遅らせる可能性があります。
調査担当者は、この活動にRockwellのAdd-On Instructions(AOI)、つまり他のPLCエコシステムにおけるファンクションブロックに相当する再利用可能なコードモジュールの改変が含まれていたことを発見しました。
改変されたロジックはシャットダウン機能やアラーム機能を無効化する可能性があり、プラント要員に警告を発することなく危険な運転状態を許してしまうおそれがあります。
各機関はこの活動を、Internet Accessible Device(T0883)、Commonly Used Port(T0885)、Remote Access Tools(T1219)、Exfiltration Over C2 Channel(T1041)、Data Manipulation(T1565)を含む複数のMITRE ATT&CK技術に対応付けています。
攻撃者は海外でホストされたインフラを経由して外部公開の産業用機器にアクセスし、ポート44818、2222、102、502を含むOT関連ポートを標的にしていました。
また、SSHポート22経由でモデムも標的にしており、あるケースでは被害者のモデムを通じてリモートアクセスを確立するためにDropbear SSHソフトウェアが使用されていました。
今回の警告は、イランと関連付けられる産業用制御システムへの標的型攻撃という、より広範なパターンの一環です。
2026年3月以降、各機関は米国の自治体、上下水道、エネルギー、政府の環境に配備されたPLCに対する妨害の試みを観測してきました。
この活動は米国内で破壊的な影響を生じさせることを意図したものと評価されている、とCISAは述べています。
注記: IPアドレスとドメインは、誤って名前解決やハイパーリンク化されるのを防ぐため、意図的にディフェング処理(例: [.])が施されています。再度有効化する際は、MISP、VirusTotal、あるいはお使いのSIEMなど、管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
SOC調査の死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/iranian-hackers-hijack-plcs/
