FBI und vier US-Behörden warnen: KI-Tools werden eingesetzt, um Siemens-PLCs in kritischen Infrastrukturen zu hacken

Fünf US-Bundesbehörden haben gemeinsam eine Cybersicherheitswarnung herausgegeben, in der sie bestätigen, dass Bedrohungsakteure KI-generierte Exploit-Tools einsetzen, um Siemens S7-Serien-Speicherprogrammierbare Steuerungen (PLCs) in amerikanischen kritischen Infrastrukturen anzugreifen. NSA, CISA, FBI, das Energieministerium und die Umweltschutzbehörde veröffentlichten am Mittwoch die Warnung AA26-231A und beschreiben eine aktive, laufende Kampagne.

PLCs sind Industriecomputer, die physische Prozesse in Fabriken, Kraftwerken, Wasserwerken und anderen kritischen Einrichtungen automatisieren. Ihre Kompromittierung kann Geräteschäden, längere Ausfälle oder Sicherheitsvorfälle mit direkten Auswirkungen auf die Bevölkerung verursachen.

KI senkt die Einstiegshürde für ICS-Angriffe

Laut der Warnung nutzen die Angreifer KI zur Erstellung von Python-Exploit-Skripten, die die Open-Source-Bibliothek snap7 verwenden, um über das S7comm-Protokoll direkt mit Siemens S7-PLCs zu kommunizieren. Diese Tools bieten Lese- und Schreibzugriff auf PLC-Speicher, Konfigurationsdaten und Leiter-Logik-Programme.

Die Tools tarnen sich als legitime OT-Überwachungssoftware, was ihre Erkennung in industriellen Netzwerken erschwert. Angreifer nutzen Internet-Scan-Dienste wie Censys und ZoomEye, um exponierte Siemens-PLCs zu identifizieren.

Sechs kritische Infrastruktursektoren im Visier

Die Warnung identifiziert sechs primäre Zielsektoren: kritische Fertigung, Energie, Wasser- und Abwassersysteme, Chemie, Lebensmittel und Landwirtschaft sowie Gewerbeimmobilien. Die Behörden weisen auch darauf hin, dass Siemens S7-PLCs in der Verteidigungsindustrie weit verbreitet sind.

Die aktiv angegriffenen Gerätemodelle umfassen Siemens S7-200, S7-300, S7-400, S7-1200 und S7-1500-PLCs — eine Bandbreite, die sowohl aktiv unterstützte Hardware als auch längst abgekündigte Geräte umfasst.

Aufklärung jetzt, Störung später

Die Behörden charakterisieren die aktuelle Aktivität als auf anhaltende Aufklärung ausgerichtet — Zugänge und Daten sammeln statt sofortige Störungen zu verursachen — was darauf hindeutet, dass Angreifer sich methodisch auf mögliche zukünftige Angriffe vorbereiten.

Die Warnung folgt einem Vorfall im Juli, bei dem Hacker mehr als 30 Wasserversorgungsanlagen in Minnesota angriffen und Geräteschäden verursachten sowie einige Anlagen zur manuellen Bedienung zwangen. CISA hatte anschließend vor einem breiteren Anstieg von Angriffen auf exponierte PLCs in der amerikanischen Wasserinfrastruktur gewarnt.

Betreiber von Siemens S7-Hardware werden dringend aufgefordert, sofort zu handeln: alle PLCs zu inventarisieren, verfügbare Sicherheitspatches anzuwenden, direkten Internetzugang zu PLC-Geräten zu blockieren, Zugriffskontrollen zu stärken und OT-Netzwerke zu überwachen. Die vollständige Warnung ist im CISA-Beratungsportal unter Referenz AA26-231A verfügbar, laut erstem Bericht von BleepingComputer.