ハッカーがAIを悪用、米国重要インフラのSiemens製PLCを標的に

米国の複数の政府機関が、Siemens製プログラマブルロジックコントローラー(PLC)を狙ったハッカーの攻撃について、重要インフラ組織に警告する共同サイバーセキュリティ勧告を発表しました。

NSA、CISA、FBI、EPA、DOEによると、攻撃者はインターネット上で公開されているPLCを特定するためスキャンを行い、産業プロセスに深刻な支障をもたらしかねないエクスプロイトを開発しているとのことです。想定される被害はほかにも、機器の損傷、作業員に影響する安全上の事故、機密データの漏えい、さらにはサプライチェーンや関連施設、事業運営への連鎖的な影響にまで及ぶ可能性があります。

身元が特定されていない脅威アクターは、エネルギー、重要製造業、上下水道、食品・農業、化学、商業施設といった分野を標的にしています。

標的となっている機器には、S7-200、S7-300、S7-400、S7-1200、S7-1500の各シリーズが含まれ、その大半についてはCPUのバリエーションを問わず影響を受けるとされています。

各機関によると、攻撃者は初期アクセス、認証情報の窃取、DoS攻撃などを目的としたエクスプロイトスクリプトの作成にAIを利用しているとのことです。また、攻撃者は標的となったPLCに影響する既知の脆弱性を悪用することも可能です。

snap7.dllやpython-snap7といったオープンソースの産業オートメーション用ライブラリが、AIが生成したスクリプトと組み合わされ、正規のOT監視ソフトウェアを装う悪意あるツールの作成に利用されています。これらのツールにより、攻撃者は標的となったSiemens製PLCのメモリや設定データ、ラダーロジックプログラムを改ざんできるようになります。

この勧告には次のように記されています。

「エクスプロイトスクリプトの生成にAIを用いる手法は、脅威アクターの能力における進化を示しており、実際に機能するICS用エクスプロイトスクリプトや悪意あるツールの開発に必要な技術的専門知識と時間を劇的に削減しています。さらにAIは、攻撃者が追加の攻撃ベクトルを迅速に活用し、防御策に適応することを可能にします。脅威アクターは、脆弱性や弱点に関する公開情報を容易に収集し、外部に露出して悪用可能なPLCを見つけ出したうえで、AIが生成したスクリプトを用いてその情報をもとに行動を起こすことができます」

この勧告では、報告されている活動は理論上のリスクではなく現に活動中の脅威であるとしていますが、実際に観測された大規模な被害をもたらす攻撃については言及されていません。各機関はむしろ、脅威アクターらが将来の破壊的、あるいは損害をもたらす攻撃に備えて「継続的な偵察活動」を行っているとみています。

この勧告は、SiemensおよびほかのPLCを使用する組織に対し、最新のパッチを適用していること、必要がない限りインターネットから隔離されていること、そして強固なアクセス制御を備えていることを確認するよう求めています。また、ICS環境を監視して不正な活動を検知できるセキュリティ製品の導入も推奨されています。

今回の攻撃を仕掛けた脅威アクターの正体はまだ明らかになっていませんが、この警告は、米国内の上下水道分野を狙ったイラン関連の一連の攻撃を受けて発表されたものです。少なくとも米国内12州でOTシステムを狙った攻撃が確認されていますが、水道供給の断絶につながった事例は確認されていません。

CISAは、上下水道分野に対し、特にPLCを中心にOTを保護するよう強く求めています。これとほぼ同時期に、米国政府はSiemens、Schneider Electric、Rockwell Automation各社製のPLCを標的とするイランのハッカーに関する警告も発表しています。