新たに公開されたレポートにより、EtherNet/IP用のポート44818をインターネットに露出させているRockwell Automation/Allen-Bradley製コントローラーが4,407台確認され、そのうち65%が米国に所在していることが明らかになりました。米国内では少なくとも12州にわたって水道システムを狙った協調的な攻撃が水道システムに混乱を引き起こしています。
この調査結果は、Forescout Research Vedere Labsが2026年8月5日に公表したもので、7月下旬にミネソタ州で始まった一連のインシデントを受けたものです。
7月28日、ミネソタ州IT Servicesは、州内の30を超える水道システムに対する協調的なサイバー攻撃を報告しました。プリマス、サウス・セントポール、メープル・プレーン、ブレアムの各市が業務への影響を確認しています。
ブレアムでは、無線接続経由で送り込まれたマルウェアによって浄水施設の制御機能が停止したと報告されました。一方、プリマスで影響を受けた設備(給水塔2基と下水中継ポンプ場14カ所)はセルラー回線で接続されていました。
その2日後、FBIとEPA(米環境保護庁)は共同勧告を発表し、ミシガン州、サウスダコタ州、ジョージア州でも同様のインシデントが発生していたことを確認しました。ミシガン州では9カ所のシステムが、サウスダコタ州では下水中継ポンプ場1カ所が影響を受けています。
脅威アクターはMicroLogix 1100およびMicroLogix 1400のPLCを標的とし、一部の事例ではコントローラーのロジックを改変したり、IPアドレスやパスワードを遠隔から変更したりしていました。これにより監視・制御機能の喪失、水圧の低下、さらには未処理の地下水が飲料水の配管に流入しかねない浸水リスクなどが生じています。
攻撃者の特定には至っていませんが、ミネソタ州でのインシデントが発生するわずか4日前、CISAはイランと関係のある攻撃者による露出PLCの悪用に関する勧告を更新していました。
8月3日に実施されたShodanでの検索では、EtherNet/IPを露出させているデバイスが4,407台確認されました。所在地の上位は米国(65%)、カナダ(12%)、スペイン(3%)となっています。
米国内のコントローラーの70%以上は大手携帯キャリアのネットワーク内にあり、FBI/EPAの勧告で説明されているものと一致するセルラールーター経由で接続されています。
露出しているデバイスの内訳は、MicroLogix 1400が50%を占め、次いでCompactLogix 1769(22%)、MicroLogix 1100(8%)、ControlLogix 5590(8%)と続きます。露出台数は2020年3月のピーク時である7,814台から47%減少していますが、依然として持続的なリスクとなっています。
今回のキャンペーンで狙われた都市で確認された22台のホストのうち、86%が単一の携帯キャリアネットワークを共有していました。またミネソタ州イーガンにある15台のデバイスでは、ネットワークアドレス、ファームウェア、GPS座標が一致しており、共通のフリート(車両・機器群)である可能性が示唆されています。
今回のキャンペーンで特定のCVEが悪用されたことは確認されていませんが、影響を受けたデバイスは既知の脆弱性の危険にさらされたままです。
最も多く見られたのはCVE-2017-16740で、Modbus TCPのサービス拒否(DoS)に関する脆弱性であり、標的となった都市の22台のホストのうち19台に影響していました。ただし悪用にはModbus TCPが有効になっている必要があり、その点は確認されていません。RockwellはMicroLogix 1100を2022年に販売終了としており、以後パッチは提供されていません。
コントローラー以外にも、研究者らは自治体の水道事業者に紐づく期限切れ証明書、放置されたリモートアクセス用ホスト名、忘れ去られたサーバーを発見しました。中には2019年以降デフォルトのIISページしか表示していない証明書もあり、この分野全体で資産管理台帳が不完全であることを示唆しています。
Forescoutが推奨する対策は、エンジニアリングプロトコルへの直接的なインターネットアクセスを遮断すること、許可リストによってポート44818とModbus TCPを制限すること、そしてセルラーゲートウェイをプライベートAPNまたはVPNへ移行することです。
リモートアクセスへの多要素認証(MFA)の適用を徹底し、サポートが終了したMicroLogixデバイスをアップグレードまたは交換した上で、すべてのVPN、証明書、リモートサービス用ホスト名を監査し、放置されたインフラがないか確認することが求められます。
ANY.RUNのブラウザ内データ検査で、検知・調査・対応をより迅速に。フィッシングの可視性を高め、SOCを強化しMTTRを短縮しましょう
翻訳元: https://cyberpress.org/4407-internet-facing-industrial-controllers/
