Agências do governo dos Estados Unidos, incluindo a NSA, o FBI, a CISA e o Departamento de Energia, emitiram um alerta sobre uma ameaça ativa contra PLCs (controladores lógicos programáveis) da série S7 da Siemens, utilizados em sistemas de infraestrutura crítica como abastecimento de água, tratamento de esgoto e distribuição de energia. O comunicado conjunto, que atualiza o aviso original de abril, amplia o escopo de fabricantes afetados para incluir também equipamentos da Rockwell Automation e da Schneider Electric, além da Siemens.
A CISA, em alerta separado publicado em 30 de julho, informou que observou um aumento significativo de ataques contra PLCs no setor de Água e Esgoto, com invasores modificando senhas para bloquear operadores e alterando endereços IP para desconectar dispositivos, resultando em avisos de água fervente e operações manuais prolongadas em algumas concessionárias. Embora especialistas investiguem uma possível ligação com o Irã, as autoridades americanas ainda não atribuíram formalmente os ataques ao governo iraniano.
Funcionamento dos ataques e recomendações
De acordo com o aviso do governo dos EUA, os atacantes exploram PLCs configurados incorretamente e expostos à internet, conectando-se a eles de infraestrutura de hospedagem alugada no exterior usando o software de programação legítimo dos próprios fabricantes, como o TIA Portal da Siemens. Uma vez conectados, eles podem extrair arquivos de projeto do dispositivo, modificar ou excluir a lógica de controle e manipular dados exibidos em interfaces de operador, e em pelo menos um caso, desativaram a lógica crítica de desligamento e alarme, permitindo que sistemas operassem em condições inseguras sem alertar os operadores.
As agências recomendam que as organizações removam os PLCs da exposição direta à internet, roteando o acesso remoto por meio de gateways seguros ou VPNs; controlem rigorosamente o acesso à rede com regras de firewall; validem os arquivos de projeto em execução contra uma lógica conhecida e limpa; alterem senhas padrão; e implementem a autenticação multifator para acesso externo. Além disso, devem auditar conexões de modem celular, que são um ponto cego comum, e consultar logs em busca de tráfego suspeito nas portas 44818, 2222, 102 e 502. As investigações continuam em andamento.
