FBI e quatro agências americanas alertam que ferramentas de IA estão sendo usadas para hackear PLCs da Siemens em infraestrutura crítica

Cinco agências federais americanas emitiram um aviso conjunto de cibersegurança alertando que atores de ameaças usam ferramentas de exploração geradas por IA para atacar os controladores lógicos programáveis (PLCs) da série S7 da Siemens integrados à infraestrutura crítica americana. A NSA, CISA, FBI, Departamento de Energia e Agência de Proteção Ambiental publicaram na quarta-feira o aviso AA26-231A, descrevendo uma campanha ativa e em andamento.

PLCs são computadores industriais que automatizam processos físicos em fábricas, usinas, sistemas de água e outras instalações críticas. Comprometê-los pode causar danos a equipamentos, interrupções prolongadas ou incidentes de segurança que afetam o público diretamente.

IA reduz a barreira para ataques ICS

Segundo o aviso, os atacantes usam IA para gerar scripts de exploração em Python que aproveitam a biblioteca de código aberto snap7 para comunicar-se diretamente com PLCs Siemens S7 via protocolo S7comm. Essas ferramentas fornecem acesso de leitura e escrita à memória do PLC, dados de configuração e programas de lógica ladder — o código que dita o comportamento das máquinas físicas.

As ferramentas se disfarçam como software legítimo de monitoramento de tecnologia operacional (OT), dificultando sua detecção em redes industriais. Os atacantes usam serviços de varredura de internet como Censys e ZoomEye para identificar PLCs Siemens expostos.

Seis setores de infraestrutura crítica no alvo

O aviso identifica seis setores-alvo principais: manufatura crítica, energia, sistemas de água e esgoto, química, alimentos e agricultura, e instalações comerciais. As agências também destacam que PLCs S7 da Siemens são amplamente usados na base industrial de defesa.

Os modelos ativamente atacados incluem PLCs Siemens S7-200, S7-300, S7-400, S7-1200 e S7-1500, cobrindo hardware com suporte ativo e dispositivos há muito fora do ciclo de vida.

Reconhecimento agora, disrupção depois

As agências caracterizam a atividade atual como reconhecimento persistente — coletar acesso e dados em vez de interromper operações imediatamente — sugerindo que os atacantes estão se preparando metodicamente para possíveis ataques futuros.

O alerta segue um incidente em julho em que hackers atacaram mais de 30 instalações de água em Minnesota, causando falhas em equipamentos e forçando algumas instalações a operar manualmente. A CISA posteriormente alertou sobre um aumento mais amplo nos ataques a PLCs expostos da infraestrutura de água dos EUA.

Organizações que operam hardware Siemens S7 devem agir imediatamente: inventariar todos os PLCs, aplicar patches de segurança disponíveis, bloquear acesso direto à internet aos dispositivos PLC, fortalecer controles de acesso e monitorar redes OT. O aviso completo está disponível no portal CISA sob referência AA26-231A, conforme relatado primeiro pelo BleepingComputer.