Ciberataques activos contra PLCs de Siemens S7 Series: la IA reduce la barrera de entrada para atacantes

Una coalición de agencias federales estadounidenses, incluyendo la Agencia de Seguridad Nacional (NSA), la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA), el FBI, el Departamento de Energía (DOE) y la Agencia de Protección Ambiental (EPA), ha lanzado una advertencia conjunta ante una amenaza cibernética activa que compromete los controladores lógicos programables (PLCs) de la serie S7 de Siemens. Estos dispositivos, omnipresentes en entornos de tecnología operativa (OT), son el pilar de numerosos procesos industriales y de infraestructura crítica.

Los actores de la amenaza están llevando a cabo actividades de reconocimiento y desarrollo de capacidades contra instalaciones de PLCs Siemens en EE.UU., utilizando scripts de explotación generados con asistencia de inteligencia artificial. Estos scripts se disfrazan como herramientas legítimas de monitorización para evadir la detección y reducir la complejidad técnica necesaria para ejecutar ataques sofisticados. La IA, en este contexto, permite a los atacantes iterar y adaptar sus herramientas maliciosas con una velocidad sin precedentes, disminuyendo la barrera de entrada para lanzar ataques dirigidos a sistemas de control industrial (ICS).

La metodología de ataque incluye el uso de servicios de escaneo de internet, como Censys o ZoomEye, para identificar PLCs expuestos directamente a la red o aquellos que presentan una protección deficiente o software obsoleto. Una vez localizados, los atacantes explotan vulnerabilidades conocidas y credenciales inseguras, aprovechando la librería snap7.dll o python-snap7 en combinación con la scripting asistida por IA para obtener acceso de lectura y escritura a la memoria, datos de configuración y programas de lógica de escalera (ladder logic) de los PLCs a través del protocolo S7comm.

Los modelos de PLC de Siemens S7 Series identificados como objetivo incluyen las variantes de CPU de las series S7-200, S7-300, S7-400, S7-1200 y S7-1500, incluyendo los controladores de seguridad de la serie F.

Impacto potencial y sectores afectados

Las consecuencias de un compromiso exitoso de estos PLCs son severas y multifacéticas. Los sectores de infraestructura crítica más amenazados son la manufactura crítica, energía, agua y aguas residuales, química, alimentación y agricultura, e instalaciones comerciales. Los posibles impactos operacionales incluyen la interrupción de procesos industriales, incidentes de seguridad para el personal (a través de la manipulación de sistemas de seguridad), daños a equipos y tiempos de inactividad prolongados, compromiso de datos operativos sensibles y efectos en cascada a través de sistemas interconectados. Las agencias evaluadoras consideran que la actividad actual es una fase de reconocimiento persistente y desarrollo de capacidades, preparándose para causar efectos operacionales en el futuro.

Estrategias de defensa y mitigación

Ante esta amenaza activa, las agencias instan a los propietarios y operadores de sistemas de tecnología operativa a implementar una estrategia integral de defensa en profundidad, complementaria a la remediación de vulnerabilidades conocidas (CVEs). Las medidas de mitigación clave se centran en verificar la exposición a internet, reforzar los controles de acceso y monitorear activamente los entornos ICS en busca de actividades anómalas. Es crucial que se realice un inventario exhaustivo de los PLCs, se apliquen los parches de seguridad críticos tan pronto como estén disponibles, y se garantice que los PLCs no sean accesibles desde internet. La supervisión continua de la actividad S7comm, la detección de la librería snap7.dll en entornos no autorizados y la vigilancia de patrones de escaneo anómalos son esenciales para identificar posibles compromisos.