Агентство национальной безопасности США (NSA), Агентство по кибербезопасности и защите инфраструктуры (CISA), Федеральное бюро расследований (FBI), Министерство энергетики и Агентство по охране окружающей среды предупредили о продолжающихся атаках на программируемые логические контроллеры серии Siemens S7 в критической инфраструктуре США. В совместном предупреждении, опубликованном 19 августа 2026 года, ведомства сообщили, что субъекты угроз используют скрипты, разработанные с применением искусственного интеллекта, для эксплуатации этих промышленных устройств.
Модули PLC представляют собой промышленные компьютеры, используемые для автоматизации машин и управления физическими процессами на предприятиях и объектах критической инфраструктуры. К наиболее часто атакуемым секторам относятся биопроизводство, энергетика, системы водоснабжения и водоотведения, химическая промышленность, пищевая промышленность и сельское хозяйство, а также коммерческие объекты. Ведомства также отметили использование модулей Siemens S7 в оборонно-промышленной базе, что делает её потенциальной целью.
Как осуществляются атаки?
Злоумышленники ищут доступные из интернета модули Siemens с помощью сервисов интернет-сканирования, включая Censys и ZoomEye, а затем пытаются эксплуатировать критические уязвимости и уязвимости высокой степени опасности, устаревшее программное обеспечение или слабые механизмы аутентификации. Согласно предупреждению, злоумышленники разработали инструменты эксплуатации на языке Python, использующие библиотеки snap7.dll и python-snap7 для связи с устройствами Siemens S7.
Эти инструменты маскируются под легитимные программы мониторинга технологий эксплуатации (OT), однако способны обеспечивать доступ на чтение и запись к памяти контроллера, данным конфигурации и программам лестничной логики (Ladder Logic) через протокол S7comm. Выявленная активность направлена на модели S7-200, S7-300, S7-400, S7-1200 и S7-1500.
Почему это предупреждение важно?
Похоже, что в настоящее время активность сосредоточена на постоянной разведке и сборе информации, однако она может предшествовать последующим операциям по нарушению работы. Ведомства заявили, что потенциальные последствия включают кражу конфиденциальных данных, повреждение оборудования, длительную остановку процессов или возникновение инцидентов, затрагивающих безопасность. Поскольку доступ к памяти и программам контроллеров может напрямую влиять на физические процессы, защита этих устройств не ограничивается безопасностью офисных сетей.
Предупреждение появилось на фоне роста атак на подключённые к интернету модули PLC. В июле хакеры атаковали более 30 объектов водоснабжения в штате Миннесота, что привело к сбоям оборудования и вынудило некоторые объекты временно перейти на ручное управление. CISA также предупредило о росте атак на модули PLC, используемые объектами водоснабжения и водоотведения. В апреле американские ведомства предупредили об атаках связанных с Ираном хакеров на подключённые к интернету модули Rockwell Automation/Allen-Bradley; при этом в нескольких секторах критической инфраструктуры были зафиксированы сбои и финансовые потери.
Что следует делать операторам?
- Составить перечень модулей Siemens S7 в промышленных средах и определить доступные из интернета устройства.
- Установить последние доступные обновления безопасности.
- Заблокировать прямой доступ к модулям через интернет.
- Усилить средства контроля доступа и аутентификации.
- Отслеживать необычную активность, направленную на эти устройства или их протоколы.
Ведомства не ограничили предупреждение только продукцией Siemens, рекомендовав всем владельцам и операторам модулей PLC принять соответствующие меры по снижению рисков для промышленных устройств и систем.