CISA mở rộng cảnh báo tấn công PLC do nhóm liên quan Iran nhắm tới nhiều hãng
"CISA expanded its advisory on Iranian-affiliated actors targeting internet-facing industrial control systems, broadening the scope beyond Rockwell Automation/Allen-Bradley PLCs to include devices from Schneider Electric, Siemens, and potentially other vendors. The attackers are exploiting exposed ports and remote access paths, extracting PLC project files and altering or deleting logic in ways that can disable shutdown and alarm functions, creating unsafe operating conditions; recommended mitigations include isolating PLCs from the public internet, restricting network access, checking for unauthorized changes, and changing default passwords."
Nguy cơ cao đối với OT khi kẻ tấn công có thể vô hiệu hóa logic dừng khẩn/cảnh báo và gây trạng thái vận hành không an toàn; điểm đáng chú ý là khai thác cổng mở và truy cập từ xa vào PLC.
Có thể dẫn tới gián đoạn vận hành và tăng chi phí khắc phục khi hệ thống bị thay đổi logic; mức độ ảnh hưởng phụ thuộc vào việc PLC có tiếp xúc Internet và khả năng phát hiện thay đổi trái phép.
Cơ quan CISA đã cập nhật và mở rộng phạm vi cảnh báo về các nhóm tin tặc liên quan Iran nhắm vào hệ thống điều khiển công nghiệp (OT), đặc biệt tại các cơ sở hạ tầng quan trọng như nước và năng lượng. Bản cảnh báo ban đầu tập trung vào PLC của Rockwell Automation/Allen-Bradley, nhưng phiên bản mới cho biết hoạt động có thể nhắm tới Schneider Electric, Siemens và các PLC mang thương hiệu/nhà sản xuất khác.
Theo CISA, trọng tâm vẫn là các thiết bị PLC có thể truy cập từ Internet. Đối tượng tấn công được ghi nhận khai thác các cổng mạng đang mở và đường truy cập từ xa. Trong một trường hợp, kẻ tấn công dùng Dropbear SSH trên modem nạn nhân để mở quyền truy cập từ xa qua port 22.
Sau khi xâm nhập, kẻ tấn công có thể trích xuất tệp dự án của PLC và sửa đổi hoặc xóa logic. CISA cảnh báo các thay đổi có thể vô hiệu hóa logic dừng khẩn và cảnh báo, khiến hệ thống rơi vào trạng thái không an toàn mà không thông báo cho người vận hành.
Khuyến nghị: tách PLC khỏi Internet công cộng, giới hạn truy cập mạng, kiểm tra thay đổi trái phép trong tệp dự án, đảm bảo nhà cung cấp dịch vụ nắm được rủi ro, và đổi mật khẩu mặc định.