Angriffe auf Siemens S7 PLC nutzen KI-Skripte, warnen US-Behörden

US-amerikanische Cybersicherheitsbehörden haben davor gewarnt, dass laufende Angriffe auf Siemens S7 PLCs Organisationen der kritischen Infrastruktur mit KI-generierten Exploit-Skripten ins Visier nehmen.

Die gemeinsame Warnung stammt von NSA, CISA, FBI, dem US-Energieministerium und der Umweltschutzbehörde EPA. Darin heißt es, dass Angreifer in den gesamten USA aktiv nach exponierten speicherprogrammierbaren Steuerungen, sogenannten PLCs, der Siemens S7-Serie suchen.

PLCs automatisieren physische Prozesse und Maschinen. Sie spielen eine zentrale Rolle in Fabriken, Energiesystemen, Wasseranlagen und anderen Umgebungen der Betriebstechnologie. Ein erfolgreicher Angriff könnte daher Risiken verursachen, die weit über Datendiebstahl hinausgehen.

Angriffe auf Siemens S7 PLCs zielen auf exponierte Systeme

Nach Angaben der Behörden betrifft die Aktivität mehrere Siemens-Gerätefamilien, darunter S7-200, S7-300, S7-400, S7-1200 und S7-1500.

Die Angreifer nutzen Berichten zufolge Plattformen zum Scannen des Internets, um Geräte zu identifizieren, die Betreiber online zugänglich gemacht haben. Anschließend suchen sie nach kritischen oder schwerwiegenden Schwachstellen, veralteter Software und schwachen Authentifizierungseinstellungen.

Die Warnung konzentriert sich auf kritische Fertigungsbereiche, Energie, Wasser- und Abwassersysteme, Chemieanlagen, Lebensmittel und Landwirtschaft sowie kommerzielle Einrichtungen. Siemens S7 PLCs kommen auch in der Verteidigungsindustrie zum Einsatz.

Die Behörden betonten jedoch, dass die umfassendere Bedrohung nicht auf Siemens-Geräte beschränkt ist. Besitzer und Betreiber von PLCs sollten unabhängig vom Hersteller ihrer Geräte geeignete Schutzmaßnahmen ergreifen.

KI-generierte Skripte können auf PLC-Daten und Logik zugreifen

Laut der Sicherheitswarnung nutzen Angreifer künstliche Intelligenz, um Python-Skripte zu erstellen, die für die Kommunikation mit Siemens S7-Geräten entwickelt wurden.

Die Tools verwenden die Bibliotheken snap7.dll und python-snap7, die die Kommunikation über das S7comm-Protokoll unterstützen. Die Angreifer tarnen die Skripte als legitime Überwachungssoftware für Betriebstechnologie.

Nach der Bereitstellung können die Tools Berichten zufolge den PLC-Speicher lesen und beschreiben, auf Konfigurationsdaten zugreifen und mit Ladder-Logic-Programmen interagieren. Ladder Logic steuert, wie industrielle Anlagen automatisierte Aufgaben ausführen.

Die Behörden gehen davon aus, dass sich die Aktivitäten derzeit hauptsächlich auf anhaltende Aufklärung konzentrieren. Dieser Zugriff könnte es Angreifern jedoch ermöglichen, später schwerwiegendere Störungen vorzubereiten.

Mögliche Folgen sind der Diebstahl sensibler Informationen, beschädigte Anlagen, längere Ausfallzeiten und Sicherheitsvorfälle.

Behörden fordern Betreiber zu stärkeren Schutzmaßnahmen auf

Organisationen sollten zunächst alle Siemens S7 PLCs in ihrer Umgebung identifizieren und überprüfen, welche Systeme mit dem Internet verbunden sind.

Die Sicherheitswarnung fordert Betreiber außerdem dazu auf, aktuelle Sicherheitsupdates zu installieren und den direkten Internetzugriff auf PLCs nach Möglichkeit zu blockieren. Eine stärkere Authentifizierung und strengere Zugriffskontrollen können das Risiko einer Kompromittierung weiter reduzieren.

Darüber hinaus sollten Sicherheitsteams industrielle Geräte auf ungewöhnliche Aktivitäten überwachen und unerwartete Verbindungen schnell untersuchen.

Die Warnung folgt auf mehrere jüngste Angriffe gegen mit dem Internet verbundene PLCs. Im Juli sollen Angreifer mehr als 30 Wasserversorger in Minnesota ins Visier genommen haben, was zu Problemen mit Anlagen führte und einige Einrichtungen dazu zwang, vorübergehend auf manuellen Betrieb umzustellen.

Frühere Warnungen machten auch auf Angriffe gegen exponierte PLCs von Rockwell Automation und Allen-Bradley aufmerksam. Die jüngste Warnung zeigt, dass Angriffe auf Siemens S7 PLCs weiterhin eine aktive Bedrohung für Betreiber kritischer Infrastrukturen darstellen.