米政府、重要インフラを狙うAI活用型攻撃がシーメンス製PLCを標的にしていると警告

米国のサイバーセキュリティ関連機関は、脅威アクターがAI生成のスクリプトを用いて、米重要インフラで使用されているシーメンス製S7シリーズのプログラマブルロジックコントローラー(PLC)を悪用していると警告しています。

PLCは、工場をはじめとする重要インフラにおいて機械や物理的な処理プロセスを自動化・制御するために使われる産業用コンピューターです。

NSA、CISA、FBI、エネルギー省、環境保護庁(EPA)は水曜日、この攻撃が現在も進行中であるとして共同勧告を発表しました。

「本勧告は、シーメンス製S7シリーズのプログラマブルロジックコントローラー(PLC)に対する現在進行中の脅威に関するものです」と勧告には記されています。

「しかし、現在進行中のPLCを狙った攻撃活動はシーメンス製PLCにとどまりません。すべてのPLC所有者・運用者は、自社のデバイスおよびシステムへのリスクを低減するため、該当する緩和策を適用する必要があります」

最も標的とされている重要インフラ分野には、重要製造業、エネルギー、上下水道システム、化学、食品・農業、商業施設などが含まれます。両機関はまた、シーメンス製S7 PLCが防衛産業基盤(Defense Industrial Base)でも使用されているため、この分野も標的となり得ると指摘しています。

脅威アクターは、CensysやZoomEyeといったインターネットスキャニングサービスを利用して、インターネットに露出したシーメンス製PLCを探し出し、深刻度が緊急または高の脆弱性、更新されていないソフトウェア、脆弱な認証を悪用しています。

今回の勧告によると、攻撃者はAIを利用してPythonの悪用スクリプトを開発しており、これらは「snap7.dll」および「python-snap7」ライブラリを使ってシーメンス製S7 PLCデバイスと通信します。

これらのカスタムツールは正規のOT監視ソフトウェアを装っており、S7commプロトコルを介してPLCのメモリ、設定データ、ラダーロジックプログラムへの読み取り・書き込みアクセスを可能にする可能性があります。

両機関によると、今回の活動は持続的な偵察活動に重点が置かれているとみられ、機密データの窃取、機器の損傷、長時間にわたるダウンタイムの発生、安全上のインシデントの発生など、重要インフラに対する破壊活動への布石となっている可能性があるとしています。

実際に標的とされているデバイスには、シーメンス製のS7-200、S7-300、S7-400、S7-1200、S7-1500の各PLCが含まれます。

各組織に対しては、シーメンス製S7 PLCの在庫確認、最新のセキュリティ更新プログラムの適用、インターネットアクセスの遮断、アクセス制御の強化、これらのデバイスを狙った不審な活動の監視が呼びかけられています。

今回の勧告は、米重要インフラ組織において、インターネットに露出したPLCを狙う攻撃が最近増加していることを受けたものです。

7月には、ハッカーがミネソタ州の水道事業者30カ所以上を標的にし、機器の誤作動を引き起こして一部施設が一時的に手動運転への切り替えを余儀なくされました。

その後CISAは、上下水道事業者が使用するインターネットに露出したPLCを狙う攻撃の増加について警告しました。

さらに遡って4月には、米当局がイラン関連のハッカーがインターネットに露出したRockwell Automation/Allen-Bradley製PLCを標的にしていると警告しており、複数の重要インフラ分野で機能障害や金銭的損失が発生していました。