// TOM'S HARDWARE ITALIA — INTELLIGENZA ARTIFICIALE
PLC Siemens S7 sotto attacco con script Python assistiti dall'AI
Script Python sviluppati con l’assistenza dell’AI vengono usati per individuare e raggiungere PLC Siemens S7 esposti, con l’obiettivo di leggere e modificare memoria, configurazioni e programmi ladder. Un advisory congiunto di National Security Agency, Cybersecurity and Infrastructure Security Agency, Federal Bureau of Investigation, Department of Energy ed Environmental Protection Agency classifica l’attività come una minaccia attiva. Le operazioni osservate riguardano per ora soprattutto installazioni Siemens negli Stati Uniti.
Gli aggressori combinano informazioni pubbliche, codice generato con il supporto dell’AI e librerie come Snap7 e python-snap7. Questi componenti open source permettono di comunicare con i controller tramite S7comm e vengono integrati in strumenti che imitano il comportamento di software legittimi per il monitoraggio OT. Le capacità descritte includono lettura e scrittura dei data block, accesso alle configurazioni e interventi sulla logica eseguita dai PLC.
La ricerca dei bersagli passa anche da Censys e ZoomEye, utilizzati per trovare dispositivi raggiungibili da Internet o collocati in reti segmentate in modo insufficiente. Credenziali predefinite e configurazioni con autenticazione minima riducono ulteriormente le barriere all’accesso. Le agenzie hanno rilevato soprattutto ricognizione persistente, sperimentazione degli strumenti e preparazione di future operazioni di scrittura, quindi le capacità potenzialmente distruttive risultano ancora in fase di sviluppo.
Il perimetro tecnico è ampio: comprende tutte le varianti CPU S7-200, S7-300 e S7-400, le CPU S7-1200 dalla 1211C alla 1217C e l’intera famiglia S7-1500, inclusi i controller di sicurezza F-series. I settori maggiormente presi di mira sono manifattura critica, energia, acqua e acque reflue, chimica, alimentare, agricoltura e strutture commerciali.
Un accesso non autorizzato può provocare interruzioni produttive, perdita di dati operativi, danni agli impianti e incidenti di sicurezza, con effetti sui sistemi collegati. Tra gli indicatori segnalati figurano scansioni sequenziali della porta TCP 102, connessioni S7comm provenienti da postazioni non autorizzate, accessi insoliti ai data block e utilizzo di Snap7 al di fuori delle workstation di ingegneria approvate.
Le misure raccomandate partono da un inventario immediato dei PLC e dall’aggiornamento di firmware, TIA Portal e STEP 7. Le organizzazioni dovrebbero eliminare l’esposizione diretta a Internet, bloccare TCP 102 al perimetro, separare le reti IT e OT, applicare protezioni di lettura e scrittura, usare allowlist e monitorare le anomalie S7comm. Il bollettino Siemens raccoglie inoltre le indicazioni ufficiali su isolamento di rete, password e protezione dei controller S7.
Aggiungi Tom's Hardware alle tue fonti preferite su Google