ИИ-скрипты атак: угроза для Siemens S7 в инфраструктуре США

Специалисты по кибербезопасности зафиксировали новую волну атак, в которых вредоносные скрипты, созданные с применением генеративных нейросетей, нацелены на программируемые логические контроллеры (ПЛК) Siemens серии S7. Инциденты зарегистрированы на объектах критической инфраструктуры в США, что указывает на эволюцию тактики злоумышленников и снижение порога входа для создания целенаправленного вредоносного ПО.

Технические детали атаки

Согласно отчету аналитиков, эксплойты используют уязвимости в реализации промышленного протокола S7comm, который применяется для обмена данными между контроллерами S7-300, S7-400 и S7-1200/1500 с инженерным ПО TIA Portal. Скрипты, вероятно, генерируются через LLM (большие языковые модели), что позволяет автоматизировать подбор параметров кадров и обходить базовые механизмы аутентификации.

• Вектор проникновения: целевые рассылки файлов с макросами или эксплуатация веб-интерфейсов панелей оператора (HMI), имеющих выход в корпоративную сеть.
• Механизм воздействия: скрипты отправляют специально сформированные запросы на чтение/запись в область памяти данных (DB-блоки) контроллера, изменяя технологические параметры без остановки процесса.
• Обнаружение: вредоносная активность маскируется под легитимный трафик инженерных станций, что затрудняет детектирование стандартными IPS/IDS системами.
• Целевые модели: подтверждена успешная атака на S7-1500 с прошивкой до версии 2.9, а также на S7-1200 с включенным режимом совместимости с S7comm.

Связь с ИИ и риски

Использование ИИ для генерации кода позволяет злоумышленникам быстро создавать варианты эксплойтов под разные версии прошивок и конфигурации защиты. В отличие от традиционных рукописных атак, ИИ-скрипты адаптируются к ответным действиям системы в реальном времени, перебирая альтернативные команды при блокировке. Это увеличивает риск нарушения работы конвейеров, систем электроснабжения и водоочистки, где применяются S7.

Эксперты отмечают, что для защиты необходимо сегментировать OT-сети, внедрять глубокий анализ пакетов S7comm на предмет аномалий (например, с помощью решений на базе Modbus/S7-инспекторов), а также использовать функции целостности и шифрования, доступные в новых прошивках S7-1500 (начиная с V3.0). Дополнительно рекомендуется отключить устаревший протокол S7comm без шифрования там, где возможен переход на S7commPlus с TLS.

Применение в России

В России парк контроллеров Siemens S7 остается значительным на предприятиях нефтегазовой, химической и металлургической отраслей, а также в энергетике. Учитывая санкционные ограничения на поставку обновлений и техническую поддержку, российские промышленные операторы сталкиваются с повышенным риском: невозможность оперативно установить пропатченные прошивки делает их более уязвимыми к подобным ИИ-атакам. Для минимизации угроз рекомендуется усилить мониторинг периметра OT-сети, использовать сертифицированные межсетевые экраны промышленного класса с глубокой фильтрацией трафика S7, а также рассмотреть поэтапную миграцию на отечественные ПЛК с сохранением протоколов сопряжения через шлюзы. Дополнительно важно проводить регулярный аудит безопасности контроллеров и обучение персонала правилам работы с внешними носителями и удаленным доступом.