پی‌ال‌سی‌های زیمنس هدف حملات مهاجمان
پی‌ال‌سی‌ها (PLCs) رایانه‌های صنعتی هستند که برای خودکارسازی و کنترل ماشین‌آلات و فرآیندهای فیزیکی در کارخانه‌ها و سایر زیرساخت‌های حیاتی استفاده می‌شوند. به همین دلیل، دسترسی غیرمجاز به این تجهیزات می‌تواند مستقیماً بر عملکرد فرآیندهای صنعتی تأثیر بگذارد. در هشدار اخیر نهادهای امنیت سایبری آمریکا، پی‌ال‌سی‌های زیمنس به‌طور مشخص به‌عنوان هدف حملات سایبری معرفی شده‌اند.
آژانس امنیت ملی آمریکا (NSA)، آژانس امنیت سایبری و امنیت زیرساخت (CISA)، اداره تحقیقات فدرال (FBI)، وزارت انرژی آمریکا (DOE) و آژانس حفاظت از محیط زیست (EPA) در یک هشدار مشترک اعلام کرده‌اند که این حملات همچنان ادامه دارند.
در این هشدار آمده است که کنترلرهای منطقی قابل‌برنامه‌ریزی سری S7 زیمنس در حال حاضر هدف حملات سایبری هستند. بااین‌حال، نهادهای آمریکایی تأکید کرده‌اند که دامنه فعالیت مهاجمان تنها به تجهیزات زیمنس محدود نمی‌شود. به همین دلیل، تمامی مالکان و اپراتورهای پی‌ال‌سی باید اقدامات لازم برای کاهش ریسک و تقویت امنیت تجهیزات و سامانه‌های خود را اجرا کنند.
بخش‌های زیرساختی هدف حملات به پی‌ال‌سی‌های زیمنس
بیشترین تمرکز این حملات بر بخش‌های مختلف زیرساخت‌های حیاتی آمریکا از جمله صنایع تولیدی حیاتی، انرژی، سامانه‌های آب و فاضلاب، صنایع شیمیایی، غذا و کشاورزی و تأسیسات تجاری بوده است.
همچنین نهادهای آمریکایی اعلام کرده‌اند که پی‌ال‌سی‌های زیمنس در بخش صنایع دفاعی آمریکا نیز مورد استفاده قرار می‌گیرند؛ بنابراین این بخش نیز می‌تواند در معرض حملات مهاجمان قرار داشته باشد.
شناسایی تجهیزات و توسعه اسکریپت‌های اکسپلویت با هوش مصنوعی
عوامل تهدید برای شناسایی پی‌ال‌سی‌های زیمنس که مستقیماً از طریق اینترنت قابل دسترسی هستند، از سرویس‌های اسکن اینترنتی مانند Censys و ZoomEye استفاده می‌کنند. مهاجمان با انجام این اسکن‌ها به دنبال شناسایی تجهیزاتی هستند که از طریق اینترنت قابل دسترسی‌اند و به دلیل داشتن آسیب‌پذیری‌های بحرانی و با شدت بالا، استفاده از نرم‌افزارهای قدیمی یا برخورداری از احراز هویت ضعیف، می‌توانند هدف حمله قرار گیرند.
بر اساس این هشدار، مهاجمان با کمک هوش مصنوعی، اسکریپت‌های اکسپلویت مبتنی بر پایتون (Python) نیز توسعه داده‌اند. این اسکریپت‌ها با استفاده از کتابخانه‌های snap7.dll و python-snap7 امکان ارتباط با تجهیزات سری S7 زیمنس را فراهم می‌کنند.
مهاجمان این ابزارهای سفارشی را به شکلی طراحی کرده‌اند که ظاهری شبیه نرم‌افزارهای قانونی مانیتورینگ فناوری عملیاتی (OT) داشته باشند. این ابزارها از طریق پروتکل S7comm می‌توانند امکان خواندن و نوشتن در حافظه پی‌ال‌سی، داده‌های پیکربندی و برنامه‌های کنترلی لدر (Ladder) را فراهم کنند.
در چنین شرایطی، دسترسی مهاجمان فقط به مشاهده اطلاعات محدود نمی‌شود و می‌تواند امکان تغییر داده‌ها و برنامه‌های کنترلی را نیز برای آن‌ها فراهم کند؛ قابلیتی که در محیط‌های صنعتی می‌تواند عملکرد تجهیزات را تغییر داده و در فرآیندهای تحت کنترل اختلال ایجاد کند.
بررسی مستمر تجهیزات و آماده‌سازی برای حملات
بر اساس ارزیابی نهادهای امنیتی آمریکا، فعالیت مهاجمان عمدتاً بر بررسی مستمر تجهیزات و سامانه‌های هدف متمرکز است. این بررسی‌ها می‌تواند به مهاجمان کمک کند اطلاعات بیشتری درباره پی‌ال‌سی‌های زیمنس، پیکربندی و نقاط ضعف محیط‌های صنعتی به دست آورند و زمینه را برای حملات احتمالی به زیرساخت‌های حیاتی فراهم کنند.
ادامه این فعالیت‌ها می‌تواند زمینه‌ساز پیامدهای جدی از جمله موارد زیر باشد:
- سرقت اطلاعات حساس
- آسیب به تجهیزات
- ایجاد اختلال طولانی‌مدت در عملیات
- بروز رخدادهای مرتبط با ایمنی
تجهیزات مورد هدف در این فعالیت‌ها شامل مدل‌های S7-200، S7-300، S7-400، S7-1200 و S7-1500 از سری S7 زیمنس هستند.
نهادهای آمریکایی به سازمان‌ها توصیه کرده‌اند برای کاهش ریسک، فهرست کاملی از پی‌ال‌سی‌های سری S7 تهیه کرده و آخرین به‌روزرسانی‌های امنیتی را نصب کنند. همچنین لازم است دسترسی مستقیم این تجهیزات به اینترنت مسدود شود، کنترل‌های دسترسی تقویت شوند و فعالیت‌های غیرعادی مرتبط با آن‌ها مورد بررسی قرار گیرد.
افزایش حملات به پی‌ال‌سی‌های متصل به اینترنت در زیرساخت‌های حیاتی آمریکا
هشدار جدید نهادهای آمریکایی در حالی منتشر شده است که طی ماه‌های اخیر، حملات علیه پی‌ال‌سی‌های متصل به اینترنت در سازمان‌های فعال در حوزه زیرساخت‌های حیاتی این کشور افزایش یافته است.
مهاجمان در ماه جولای بیش از 30 شرکت آب در ایالت مینه‌سوتا را هدف قرار دادند. این حملات باعث اختلال در عملکرد تجهیزات شد و برخی تأسیسات را وادار کرد برای مدتی فعالیت‌های خود را به‌صورت دستی ادامه دهند.
پس از این رخداد، آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) درباره افزایش حملات به پی‌ال‌سی‌های متصل به اینترنت مورد استفاده در سامانه‌های آب و فاضلاب هشدار داد.
پیش از آن، در ماه آوریل، نهادهای آمریکایی درباره فعالیت مهاجمانی هشدار دادند که احتمالاً با ایران ارتباط داشتند. این مهاجمان پی‌ال‌سی‌های متصل به اینترنت راک‌ول اتومیشن و آلن‌بردلی (Rockwell Automation/Allen-Bradley) را مورد هدف قرار داده بودند. این حملات در چندین بخش از زیرساخت‌های حیاتی منجر به اختلال عملیاتی و خسارت مالی شده بود.
مجموع این رخدادها نشان می‌دهد که حملات به تجهیزات صنعتی متصل به اینترنت دیگر به محصولات یک شرکت یا نوع خاصی از تجهیزات محدود نیست. مهاجمان دامنه فعالیت‌های خود را به سامانه‌های کنترل صنعتی (ICS) مورد استفاده در زیرساخت‌های حیاتی گسترش داده‌اند؛ روندی که می‌تواند ریسک اختلال در فرآیندهای حیاتی را افزایش دهد.
