イランと関係があるとされる高度持続的脅威(APT)集団が、Rockwell Automation、Schneider Electric、Siemensといった主要産業ベンダーのインターネット接続型プログラマブルロジックコントローラー(PLC)を積極的に悪用し、米国の重要インフラ分野を標的にしていることが分かりました。
Hacking& Cracking
FBI、CISA、NSA、DOE、EPA、財務省、米サイバー軍が共同で発表したサイバーセキュリティ勧告(AA26-097A)は、運用技術(OT)環境に対する持続的な悪用活動を強調しており、攻撃者が設定不備によりインターネットに露出したPLCを悪用して産業プロセスを操作していることを明らかにしています。
このキャンペーンは、政府施設、上下水道システム、エネルギーインフラなど、米国の複数分野に影響を及ぼしています。
調査の結果、脅威アクターがPLCのプロジェクトファイルに直接介入し、ヒューマンマシンインターフェース(HMI)や監視制御・データ収集(SCADA)システムに表示されるデータを改ざんしていることが判明しました。
確認済みの複数のケースでは、こうした改ざんが運用の中断や金銭的損失につながっています。
当局は、この活動をイラン系脅威アクターによるものと断定しており、IRGCサイバー電子軍との関連が疑われるほか、これまで追跡されてきたCyberAv3ngers(APT Iran、UNC5691、Shahid Kaveh Groupとしても知られる)などのグループとの一致点が見られるとしています。
同様の手口は過去のキャンペーンでも確認されており、2023年に発生したUnitronics製PLCの侵害事件では、攻撃者が悪意あるラダーロジックを展開し、正規の制御プロセスを上書きしました。
CISAの研究者によると、当初2026年4月7日に公開されたこの勧告は、2026年7月22日に更新され、影響を受けるベンダーの範囲が拡大されたほか、特にRockwell製PLC環境における再利用可能なコードモジュール内の悪意ある改ざんに関する新たな検知手法が追加されました。
Rockwell、Schneider、Siemensが悪用の標的に
技術的には、攻撃者はRockwell Studio 5000 Logix Designer、Schneider EcoStruxure Control Expert、Siemens TIA Portalといったベンダー固有のプログラミングソフトウェアを利用し、外部に露出したPLCサービスを悪用しています。
初期侵入は、44818、2222、102、502といった産業用プロトコルのポート経由でインターネットに接続されたデバイス、およびポート22経由のSSHアクセスを通じて行われています。
攻撃者はリース契約したインフラや海外のIPアドレスを使ってこれらのデバイスに接続しており、MITRE ATT&CKの技術分類T0883(リモートサービスの悪用)に合致する手口となっています。
今回のキャンペーンで注目すべき進化点は、正規のラダーロジックを保持したまま、安全上重要なパラメータを上書きする不正な命令を組み込んだ悪意あるプロジェクトファイルを展開している点です。
ある確認事例では、悪意あるロジックが下流のプロセスを妨げることなく制御機能を選択的に改変しており、検知を著しく困難にしています。
攻撃者はまた、正規のエンジニアリングツールを利用してPLCのプロジェクトファイルを窃取する能力も示しており、悪意ある活動を通常の運用ワークフローに巧妙に紛れ込ませています。
この挙動はATT&CKの技術分類T0885(一般的に使用されるポート)に合致しており、信頼されたOTエンジニアリング環境がコマンド&コントロールやデータ窃取に悪用されるケースが増加していることを浮き彫りにしています。
Datarecovery services
さらに、侵害されたモデム上でDropbear SSHを使用し、持続的なリモートアクセスを維持している事例も確認されており、インシデント対応をさらに困難にしています。
これらの手口は、単なる偵察活動ではなく、持続性、隠密性、運用への影響を意図的に重視していることを示しています。
この勧告では、OTデバイスのインターネット露出が依然として主要なリスク要因であることが強く強調されています。各組織は、PLCへの直接的なインターネットアクセスを直ちに制限し、ネットワークセグメンテーションを実施するとともに、制御ロジックやプロジェクトファイルへの不正な変更を監視するよう求められています。
侵害指標(IOC)
| 指標 | アクター関連活動の開始時期 | アクター関連活動の終了時期 |
|---|---|---|
| 185.82.73[.]175 | 2025年9月 | 2026年2月 |
| 141.11.164[.]153 | 2026年1月 | 2026年6月 |
| 175.110.121[.]42 | 2026年2月 | 2026年3月 |
| 175.110.121[.]39 | 2026年2月 | 2026年3月 |
| 175.110.121[.]41 | 2026年2月 | 2026年3月 |
| 175.110.121[.]107 | 2026年2月 | 2026年2月 |
| 192.142.54[.]79 | 2026年5月 | 2026年6月 |
| 84.200.205[.]165 | 2026年5月 | 2026年6月 |
| 185.225.17[.]225 | 2026年6月 | 2026年7月 |
| 79.133.46[.]209 | 2026年7月 | 2026年7月 |
注: IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記(defang、例: [.])を施しています。再度有効な形式に戻す作業は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンスプラットフォーム内でのみ行ってください。
2026年、AI SOCに求められる機能とは? 完全チェックリスト : AI SOC機能チェックリストをダウンロード
翻訳元: https://gbhackers.com/iranian-hackers-exploit-rockwell/
