攻撃者たちが、AIが生成したエクスプロイトスクリプトを使い、水道、製造業、エネルギー、その他の重要施設でインターネットに露出したシーメンス製S7シリーズのプログラマブルロジックコントローラ(PLC)に侵入していることが明らかになりました。米国の連邦機関5つは水曜日、これを「現在進行中の脅威」だと表現しています。
米国の重要インフラを狙ったこの最新の侵入事案では、攻撃者はオープンソースの産業オートメーションライブラリ――具体的にはsnap7.dll/python-snap7――とAIコーディングアシスタントを組み合わせて利用しています。オープンソースライブラリとAIを武器に、攻撃者たちは運用技術(OT)監視ソフトウェアを模倣し、S7comm プロトコル経由でPLCデバイスのメモリ、設定データ、ラダーロジックプログラムへの読み書きアクセスを提供するカスタムツールを作成しています。
「これは理論上のリスクではありません――現在進行中の脅威です」と、米当局は警告しました。
米国家安全保障局(NSA)、サイバーセキュリティ・インフラセキュリティ庁(CISA)、連邦捜査局(FBI)、エネルギー省(DOE)、環境保護庁(EPA)による共同アラートは、この脅威を特定の政府やサイバー犯罪集団に帰属させてはいません。しかし、イランと関係のあるサイバー工作員が、少なくとも12州の上下水道施設のPLCを標的とした最近の攻撃の背後にいるのではないかと疑われています。この中には、7月下旬にミネソタ州の30以上の地域水道システムを混乱させたサイバー攻撃も含まれます。
これは、PLCを標的にしたイラン関連とみられる一連の活動の継続と考えられる
「これは、PLCを標的にしたイラン関連とみられる一連の活動の継続だと考えられます」と、Halcyon Ransomware Research Centerのシニアバイスプレジデントであるシンシア・カイザー氏はThe Registerに語りました。「イラン関連の攻撃者や敵対勢力は、幅広い運用技術を積極的に狙っています。こうしたPLCは、社会全体の医療、安全、重要インフラの基盤を支えているからです」。
国家安全保障やインフォセキュリティの専門家たちは先週、The Registerの取材に対し、今回の水道システムをハッキングした攻撃者がAIを使用したという証拠は今のところないものの、近いうちに攻撃者が重要インフラへの攻撃にAIを組み込むようになるのではないかと懸念していると語っていました。そして今、その脅威が現実のものとなったようです。
「今回のアドバイザリがAIの利用について明らかにした内容は、私たちがこれまで予想していたことと一致しています。国家の支援を受けた敵対勢力は、コードチェックやスクリプト作成といった個別の作業全般にAIを活用し、作戦の規模を拡大し、スピードを上げているのです」と、FBIサイバー部門の元副次官補であるカイザー氏は水曜日、われわれの取材に語りました。「今回のアドバイザリは、脅威アクターがAIを使って効率を高めているという、より大きな現実を反映しています」。
標的となったシーメンス製S7シリーズPLC
水曜日のセキュリティアラートによると、今回の一連の攻撃は特に、重要製造業、エネルギー、上下水道、化学、食品・農業、商業施設など、インターネットに露出したシーメンス製S7シリーズPLCを標的にしています――つまり、米国民が日常生活で利用する製品やサービスを提供する重要産業のほとんどが対象ということです。
「さらに、シーメンス製S7シリーズPLCは防衛産業基盤(DIB)を含む他の分野でも使用されており、そこでも標的にされる可能性があります」と、米当局は警告しています。
The Registerはこれらの機関に今回の攻撃についての追加情報を求めましたが、質問への回答は得られませんでした。
私にとっての本当の教訓は変わらない――そもそも攻撃者が重要システムに到達する経路を与えないことだ
攻撃者はCensysやZoomEyeといったインターネットスキャンサービスを使い、古いソフトウェアを動かしていたり、デフォルトのパスワードを使っていたりする「保護が不十分な」露出PLCを見つけ出します――そして今や、それにAIによる後押しが加わっています。
「脅威アクターは、初期アクセス、認証情報アクセス、サービス拒否、その他の目的のために、これらシーメンス製S7シリーズPLCに関する公開情報を使ってエクスプロイトスクリプトを生成する際、AIによる支援を利用しています」と、当局は述べています。「これらのPLCがインターネットに露出していたり、セグメンテーションが不十分であったりすると、脅威アクターはこれらPLCに存在するさまざまな重大・高深刻度の既知脆弱性を悪用できてしまいます」。
AIの利用はまた、「脅威アクターの能力における進化」を示しており、OTに関する高度な技術知識の必要性を減らし、攻撃者が機能する産業制御システム向けマルウェアや攻撃チェーンをより迅速に開発できるようにしている、とアラートは指摘しています。
「より大きな問題は、OT環境がいかに露出しているかということだと思います」と、重要インフラセキュリティ企業Opswatの最高経営責任者(CEO)兼創業者であるベニー・ザルニー氏は、電子メールでThe Registerに語りました。「AIによって、攻撃者はPLCを標的としたスクリプトの作成や改変が格段に容易になり、産業システムを攻撃するハードルは下がり続けています。ですが、私にとっての答えは単に検知AIを強化することではありません」。
この脅威を軽減するため、米当局は、重要インフラの所有者や運用者はまず――直ちに――自らの環境内にあるすべてのシーメンス製S7シリーズPLCの棚卸しを行い、必要に応じてセキュリティパッチを適用し、いかなるPLCもインターネットからアクセス可能な状態になっていないことを確認すべきだとしています。
また、エンジニアリング用ワークステーション以外からの接続、通常とは異なるデータブロックへのアクセスパターン、変更ウィンドウ外での書き込み操作など、異常なS7comm通信の兆候がないか確認することも重要だと米当局は提案しています。
ポート102に対する連続的なIPスキャンや、パラメータを変えながらの接続試行の繰り返しは、攻撃者が偵察を行っていることを示唆する場合があり、承認済みワークステーション以外でのSnap7.dllライブラリの使用も、ネットワーク内に侵入者が存在することを示す可能性があります。政府のセキュリティアドバイザリに詳しく記載されている、これらを含む検知手法一式を活用し、侵害の兆候となる異常がないか調査することをお勧めします。
今回の侵入事案に関連する侵害の痕跡を探すことに加え、OTの攻撃対象領域を縮小することも重要だと、ザルニー氏は述べています。
「データをOTネットワークから外に送信するだけでよいのであれば、データダイオードを使うべきです」と同氏。「攻撃者がPLCを悪用できるようなネットワーク経路を、戻り方向に残してはいけません。確かにAIによってこの対策の緊急性は増しています。しかし、私にとっての本当の教訓は変わりません。そもそも攻撃者に重要システムへの経路を与えないことです。そして、データフローの保護をアンチウイルスやサンドボックスに頼ってはいけません」。 ®
