Un ensemble d’agences gouvernementales américaines a publié une alerte conjointe concernant des attaques visant des PLC Siemens au sein d’infrastructures critiques. Le point d’inquiétude n’est pas seulement la cible, mais aussi la façon de procéder : les acteurs malveillants recourent à l’IA pour produire plus vite des scripts d’exploitation et adapter leurs actions.
Selon l’alerte, ces campagnes incluent une reconnaissance en ligne afin d’identifier des automates exposés et exploitables. À partir de là, les attaquants peuvent tenter de déclencher des perturbations sérieuses des processus industriels, avec des conséquences potentiellement étendues sur la production, la sécurité et la chaîne d’approvisionnement.
Pourquoi le ciblage de PLC Siemens inquiète autant
Les organisations concernées opèrent dans des environnements où la continuité et la sécurité sont essentielles. L’avertissement souligne que l’exploitation de PLC peut mener à plusieurs scénarios : perturbation des procédés industriels, dommages matériels, incidents de sécurité impliquant des travailleurs, ou encore compromission de données sensibles.
De plus, l’attaque ne s’arrête pas nécessairement à l’équipement initial. Les agences évoquent des effets en cascade susceptibles de toucher les installations associées, les activités d’affaires et la chaîne logistique.
Quels secteurs sont visés
Les attaques rapportées se concentreraient sur des domaines considérés comme critiques aux États-Unis. Parmi les secteurs mentionnés figurent :
- l’énergie ;
- la fabrication industrielle essentielle ;
- l’eau et l’assainissement ;
- l’agroalimentaire et l’agriculture ;
- l’industrie chimique ;
- des sites commerciaux.
Cette liste traduit une stratégie d’extension : en s’appuyant sur des composants industriels courants, les attaquants peuvent toucher des environnements variés, y compris ceux dont les systèmes de contrôle sont interconnectés avec des opérations métiers.
Quelles références de PLC Siemens sont concernées
D’après l’alerte, plusieurs familles de PLC Siemens sont dans le collimateur. Les agences citent notamment les séries S7-200, S7-300, S7-400, S7-1200 et S7-1500, et indiquent que, dans la plupart des cas, la variante de CPU n’est pas un facteur déterminant.
Le message pour les exploitants est clair : il ne suffit pas de vérifier un seul modèle ou une seule configuration. Il faut évaluer plus largement les versions et la posture de sécurité de l’ensemble des automates susceptibles d’être accessibles.
Le rôle de l’IA dans la chaîne d’attaque
Un élément central de l’alerte concerne l’usage de l’IA pour accélérer la production de scripts malveillants. Les agences indiquent que les pirates utilisent ces capacités afin de créer ou d’ajuster des scripts pour :
- l’accès initial ;
- l’obtention de comptes ou de crédentials ;
- des actions de type déni de service (DoS) ;
- d’autres objectifs liés à l’intrusion.
Le recours à l’IA est présenté comme une évolution importante des capacités des attaquants. L’alerte précise que cette approche réduit fortement l’expertise technique requise et diminue le temps nécessaire pour mettre au point des outils d’exploitation opérationnels.
En parallèle, l’IA permettrait aussi d’exploiter plus rapidement de nouveaux vecteurs et de s’adapter aux mesures de défense. Autrement dit, même si une organisation tente de renforcer sa posture, les scripts pourraient être ajustés au rythme des informations collectées publiquement.
Exploiter des vulnérabilités connues et combiner des bibliothèques
Les agences mentionnent également que les acteurs malveillants peuvent exploiter des vulnérabilités connues affectant les PLC visés. À cela s’ajoute un aspect technique : des bibliothèques open source utilisées en automatisation industrielle seraient combinées avec des scripts générés par IA.
Par exemple, l’alerte cite l’utilisation de composants comme snap7.dll et python-snap7. Une fois assemblés à des scripts produits par IA, ces éléments peuvent servir à créer des outils capables de se comporter comme des logiciels légitimes de supervision OT.
Dans ce scénario, les attaquants chercheraient à altérer la mémoire des PLC concernés, ainsi que des données de configuration et des programmes de logique à échelons (ladder logic). L’objectif : rendre l’automate moins fiable, détourner son fonctionnement ou préparer des actions plus avancées.
De la reconnaissance persistante aux attaques futures
Les agences précisent que la menace décrite correspond à un risque actif et non à une hypothèse purement théorique. Toutefois, l’alerte ne mentionne pas d’attaques de grande ampleur observées dans la pratique à la date de publication.
La principale posture attribuée aux acteurs serait une reconnaissance persistante, c’est-à-dire des tentatives répétées d’identification des cibles et de préparation en vue de futures opérations susceptibles d’être perturbatrices, voire destructrices.
Ce type de préparation est particulièrement préoccupant pour les équipes OT : il laisse peu d’indices exploitables si les défenses ne détectent pas les étapes initiales (exposition réseau, tentatives de connexion, comportements anormaux sur les environnements de contrôle).
Recommandations : quoi faire pour réduire le risque
L’alerte contient plusieurs recommandations destinées aux organisations qui utilisent Siemens et d’autres PLC. Elles s’organisent autour de la mise à jour, de la réduction de l’exposition et du renforcement des contrôles d’accès.
Appliquer les correctifs
La première mesure consiste à s’assurer que les équipements concernés disposent des derniers correctifs. Cela vise à limiter la fenêtre d’exploitation des vulnérabilités connues et à réduire la probabilité de compromis via des PLC exposés.
Limiter l’accès réseau
Ensuite, les agences conseillent d’isoler les systèmes du réseau Internet, sauf nécessité opérationnelle. L’idée est simple : si les PLC ne sont pas accessibles depuis l’extérieur, les attaques basées sur la découverte d’équipements exposés deviennent beaucoup plus difficiles à mener.
Renforcer les contrôles d’accès
Enfin, l’alerte insiste sur des contrôles d’accès robustes. Dans les environnements OT, cela implique en général de limiter les privilèges, d’encadrer strictement les identifiants autorisés et de réduire les surfaces où des accès non maîtrisés pourraient être tentés.
Surveiller l’environnement OT
Les agences recommandent aussi d’utiliser des solutions capables de surveiller les environnements ICS (Industrial Control Systems) afin de détecter une activité malveillante. L’objectif n’est pas seulement d’arrêter un incident, mais aussi d’identifier des signaux précoces avant qu’ils ne se transforment en actions plus destructrices.
Contexte : une dynamique d’attaques contre l’eau et les ICS
Cette alerte s’inscrit dans une période où le gouvernement américain a déjà communiqué sur des opérations attribuées à des groupes liés à l’Iran, notamment visant le secteur de l’eau. D’après les éléments cités, au moins 12 États auraient connu des attaques visant des systèmes OT, sans que des perturbations de l’alimentation en eau aient été confirmées.
Au même moment, d’autres avertissements gouvernementaux auraient aussi mentionné des pirates iraniens cherchant des PLC de marques telles que Siemens, Schneider Electric et Rockwell Automation. L’actualité renforce donc l’idée que les infrastructures industrielles et leurs composants de contrôle restent une priorité pour les attaquants.
Conclusion
Le ciblage de PLC Siemens mis en avant par les agences américaines illustre une menace en mutation. En combinant reconnaissance en ligne, exploitation de vulnérabilités et génération de scripts par IA, les attaquants peuvent réduire le temps de mise en œuvre et augmenter la vitesse d’adaptation.
Pour les exploitants, le bon réflexe consiste à renforcer rapidement les fondamentaux : correctifs à jour, séparation réseau quand c’est possible, contrôles d’accès stricts et surveillance adaptée à l’OT/ICS. Même si les impacts les plus graves ne sont pas décrits comme observés dans l’immédiat, la reconnaissance persistante laisse penser que la préparation pourrait servir des attaques plus ambitieuses par la suite.
Source: https://www.securityweek.com/hackers-using-ai-to-target-siemens-plcs-in-critical-us-sectors/
