Die US-Behörden haben vor einer aktiven Bedrohung gewarnt, die kritische Infrastruktur in den USA ins Visier nimmt. Laut einer gemeinsamen Mitteilung von NSA, CISA, FBI, dem Energieministerium (DOE) und der EPA nutzen Angreifer KI-generierte Exploit-Skripte, um Schwachstellen in speicherprogrammierbaren Steuerungen (PLCs) auszunutzen und anschließend weitere Fähigkeiten aufzubauen.
Besonders problematisch: Die Angriffe sollen dabei nicht nur der reinen Ausnutzung dienen, sondern auch der Erkundung und dem zielgerichteten Ausbau der Angriffsmöglichkeiten. Gleichzeitig wird betont, dass der Umfang der PLC-Infizierung über Siemens-Geräte hinausgehen kann.
Wie die Angriffe mit KI in die OT gelangen
Im Zentrum der Warnung stehen PLCs der Siemens S7-Serie. Die Angreifer sollen mit KI-unterstützten Skripten Aufklärungsarbeit leisten und versuchen, das Zielsystem weiter auszubauen. Dazu gehören Aktivitäten, die als legitime Überwachungs- oder Wartungsfunktionen wirken sollen.
Die Behörden erklären außerdem, dass die Täter gezielt nach exponierten Systemen suchen. Dafür greifen sie auf Internet-Scanning-Dienste wie Censys und ZoomEye zurück. So finden sie angeblich Steuerungen, die online erreichbar sind, veraltete Software nutzen oder anderweitig nur unzureichend abgesichert sind.
Welche Siemens S7-Modelle ins Visier geraten
Die Mitteilung nennt konkrete Serien und Modelle, die herausgegriffen wurden. Dazu zählen:
- S7-200-Serie (alle CPU-Varianten)
- S7-300-Serie (alle CPU-Varianten, u. a. 314, 315, 317)
- S7-400-Serie (alle CPU-Varianten)
- S7-1200-Serie (CPU 1211C, 1212C, 1214C, 1215C, 1217C)
- S7-1500-Serie (alle CPU-Varianten, einschließlich F-Series Sicherheitscontroller)
Wichtig ist die Einordnung: Auch wenn Siemens S7-PLCs besonders genannt werden, wird der laufende Angriff hinsichtlich seines Gesamtumfangs als breiter eingeschätzt.
Warum schlecht geschützte PLCs riskant sind
Die Ausnutzung unsicherer PLCs kann Folgen haben, die über einen einzelnen kompromittierten Computer hinausgehen. Laut Behörden drohen etwa:
- Störungen kritischer industrieller Prozesse
- Sicherheitsvorfälle
- Stillstand und Ausfallzeiten
- Schäden an Anlagen oder Geräten
- Abfluss sensibler Daten
- Nicht-Einhaltung von Compliance-Vorgaben
Zusätzlich kann es zu kaskadierenden Effekten kommen, wenn Systeme miteinander gekoppelt sind. Dann können sich Probleme von einer Anlage auf weitere Bereiche ausdehnen.
Angriffsziel: viele Branchen kritischer Infrastruktur
Die Behörden nennen mehrere Bereiche, in denen Ziele vermutet oder betroffen sein sollen. Dazu gehören unter anderem Critical Manufacturing, Energie, Wasser und Abwasser, die chemische Industrie, Lebensmittel- und Landwirtschaft sowie gewerbliche Einrichtungen.
Zum Zeitpunkt der Warnung ordneten die beteiligten Stellen die Aktivitäten keinem bekannten Cyber-Umfeld oder keiner konkreten Tätergruppe zu.
KI-generierte Exploit-Skripte tarnen sich als Monitoring
Ein zentraler Punkt der Mitteilung betrifft die Art der verwendeten Werkzeuge. Ein in der Aktivität offenbar eingesetztes Python-Skript soll auf öffentlich verfügbaren Industrieautomations-Bibliotheken basieren, darunter snap7.dll bzw. python-snap7.
Damit können Angreifer offenbar so vorgehen, dass ihre Handlungen wie legitime Überwachungs- oder Wartungssoftware wirken. Über das S7comm-Protokoll sei dabei der Zugriff auf PLC-Speicher, Konfigurationsdaten und Leiterlogik-Programme möglich.
Vom Scan zur Kompromittierung: Ziel ist mehr als nur Zugriff
Die Behörden schreiben, dass KI-unterstützte Entwicklung dabei hilft, Exploit-Skripte aus öffentlich verfügbaren Informationen zu generieren. Das soll den Einstieg erleichtern und Angreifern helfen, ihre Fähigkeiten schneller zu verbessern.
Als mögliche Ziele werden genannt: Initial Access, Credential Access, Denial of Service sowie andere Vorhaben. Besonders kritisch wird es, wenn die PLCs direkt ins Internet exponiert sind oder nicht ausreichend segmentiert werden.
In solchen Szenarien können Angreifer verschiedene bekannte Schwachstellen mit hoher bis kritischer Schwere ausnutzen. Laut Behörden schafft die Kombination aus verfügbaren Exploits, entsprechenden Bibliotheken und KI-unterstützter Entwicklung ein Szenario mit hoher Wahrscheinlichkeit gegen unzureichend geschützte Installationen.
Warum das eine „Evolution“ der Angriffsformen ist
Die Warnung hebt hervor, dass der Einsatz von KI, um Exploit-Skripte zu erstellen und schnell Iterationen vorzunehmen, die Hürde für Angriffe auf Industrial Control Systems senkt. Dadurch sinkt auch der Bedarf an Spezialwissen und Entwicklungszeit, die zuvor erforderlich gewesen sein sollen.
Für Betreiber bedeutet das: Selbst wenn das Personal oder die Prozesse bisher gut auf klassische IT-Bedrohungen ausgerichtet waren, können sich Angreifer durch KI schneller anpassen und gezielter vorgehen.
Empfohlene Gegenmaßnahmen für OT-Betreiber
Die beteiligten Behörden richten sich ausdrücklich an Owner und Operator von OT-Systemen. Zu den empfohlenen Schritten zählen:
- Sicherstellen, dass die neuesten Versionen installiert sind
- PLCs und relevante Systeme so weit wie möglich vom Internet isolieren
- Starke Zugriffskontrollen umsetzen
- Security-Tools einsetzen, um ICS-Umgebungen auf Anomalien und mögliche bösartige Aktivität zu überwachen
Praktisch bedeutet das: Eine Kombination aus Patch-Disziplin, Netzwerksegmentierung und kontinuierlicher Überwachung ist entscheidend, um den typischen Angriffsweg von der Exponierung bis zur Ausnutzung zu unterbrechen.
Ein Blick auf weitere KI-gestützte Angriffe
Die Warnung ordnet die Entwicklung in einen größeren Trend ein: Angreifer nutzen KI zunehmend, um Cyberangriffe nahezu autonomer ablaufen zu lassen. In einem weiteren Bericht, der kurz zuvor veröffentlicht wurde, beschreibt ein israelisches Unternehmen eine mehrwellige, KI-basierte Kampagne gegen staatliche Stellen in Asien.
Obwohl nicht im Detail offen gelegt wurde, welches Land genau angegriffen wurde, meldeten Medien wie Financial Times und Reuters, dass Taiwan das Ziel gewesen sein soll. Das taiwanische Ministerium für Digitale Entwicklung nannte Hinweise darauf, dass die Angriffe von außerhalb stammten und einen hybriden Ansatz nutzten, bei dem Angreifer klassische Vorgehensweisen mit KI-gestützten Agenten kombinierten.
Laut Darstellung wurde die Aktivität in mehreren Angriffswellen beobachtet. Dabei sollen KI-Frameworks parallelisierte Teilagenten genutzt haben, um unterschiedliche Phasen abzudecken, etwa Erkundung, das Knacken von Zugangsdaten, Datenabfluss, das Testen von Schwachstellen sowie das Installieren persistenter Zugänge.
Was Betreiber aus beiden Hinweisen ableiten sollten
Ob es um PLCs der Siemens S7-Serie oder um andere Zielsysteme geht: Das zugrunde liegende Muster bleibt ähnlich. Angreifer profitieren von verfügbaren Informationen, nutzen öffentlich zugängliche Ressourcen und können mit KI schneller entwickeln, testen und anpassen.
Gerade in OT-Umgebungen ist die Lage besonders anspruchsvoll, weil Produktionsausfälle oder Sicherheitsvorfälle nicht nur „technische“ Konsequenzen haben. Deshalb sollten Betreiber KI-gestützte Angriffsmuster ernst nehmen und ihre OT-Schutzmaßnahmen wie Aktualität, Segmentierung und Monitoring konsequent prüfen.
Fazit
Die Behördenwarnung macht deutlich, dass KI-generierte Exploit-Skripte die Angriffsrealität in kritischen Infrastrukturen verändern können. Siemens S7-PLCs wurden dabei als besonders relevantes Ziel genannt, wobei die eingesetzten Skripte offenbar auch Tarnung als Monitoring-Funktionen unterstützen können.
Für OT-Betreiber gilt: Systeme aktuell halten, Internet-Exponierung reduzieren, Zugriffe konsequent absichern und ICS-Umgebungen kontinuierlich überwachen. So lassen sich die typischen Einstiegspunkte der Angreifer frühzeitig entschärfen.
Quelle: https://thehackernews.com/2026/08/ai-generated-exploit-scripts-target.html
