Az amerikai kiberbiztonsági és hírszerző szervek sürgős figyelmeztetést adtak ki egy aktív fenyegetési kampány miatt, amely a gyártóüzemekben, energetikai létesítményekben, víziközmű-rendszerekben és más kritikus infrastruktúrákban használt Siemens S7 programozható logikai vezérlőket célozza.
A közös figyelmeztetést az Egyesült Államok Nemzetbiztonsági Ügynöksége (NSA), a Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA), a Szövetségi Nyomozó Iroda (FBI), az Energiaügyi Minisztérium és a Környezetvédelmi Ügynökség adta ki.
A hatóságok szerint egyelőre ismeretlen fenyegetési szereplők felderítési tevékenységet folytatnak, és támadási képességeket fejlesztenek az Egyesült Államokban működő Siemens-rendszerek ellen. A kampány a beszámolók szerint nyilvánosan elérhető sérülékenységi információkat, internetes szkennelő szolgáltatásokat, legitim ipari automatizálási szoftvereket és mesterséges intelligenciával generált exploit-szkripteket kombinál.
A tevékenység nem egyetlen sérülékenységre vagy Siemens-eszközgenerációra korlátozódik. A hatóságok szerint a támadók az S7-200, S7-300, S7-400, S7-1200 és S7-1500 termékcsaládok eszközeit egyaránt célba veszik, beleértve egyes, biztonságkritikus ipari folyamatokban használt fail-safe vezérlőket is.
Bár a figyelmeztetés aktív fenyegetésről számol be, a nyilvánosságra hozott információk nem erősítik meg, hogy a támadók már sikeresen manipuláltak volna ipari folyamatokat vagy fizikai károkat okoztak volna. A jelenlegi aktivitás inkább felderítésre, tesztelésre és esetleges előzetes pozícióépítésre utal, amely később romboló vagy működést zavaró műveleteket tehet lehetővé.
Ez fontos különbség. A jelenlegi tevékenység magában foglalhatja a vezérlők memóriájának kiolvasását, konfigurációs adatok gyűjtését és az egyes létesítmények működésének feltérképezését. Ugyanez a hozzáférés azonban később lehetővé teheti a vezérlési logika módosítását, folyamatértékek megváltoztatását, kommunikáció megszakítását vagy ipari berendezések leállítását.
„Ez nem elméleti kockázat” – figyelmeztettek a hatóságok, hozzátéve, hogy egy sikeres kompromittálás működési zavarokat, biztonsági incidenseket, berendezéskárokat, adatvesztést, szabályozási problémákat és összekapcsolt rendszereken keresztül tovagyűrűző következményeket okozhat.
A teljes CISA-figyelmeztetés arra szólít fel minden programozható logikai vezérlőt üzemeltető szervezetet – nem kizárólag a Siemens ügyfeleit –, hogy vizsgálják felül kitettségüket és erősítsék meg védelmi intézkedéseiket.
Több iparág Siemens vezérlőit célozzák
A programozható logikai vezérlők, vagyis PLC-k olyan speciális számítógépek, amelyek fizikai folyamatokat automatizálnak. Szabályozhatják a víznyomást, vezérelhetnek szivattyúkat és szelepeket, működtethetnek gyártósorokat, irányíthatnak vegyipari folyamatokat és koordinálhatják gépek működését.
A hagyományos üzleti szerverekkel ellentétben a PLC-k közvetlenül a fizikai világra hatnak. Egy jogosulatlan módosítás ezért nem pusztán informatikai konfigurációs problémát jelenthet, hanem következményekkel járhat a termelésre, a berendezésekre és akár a dolgozók biztonságára is.
A Siemens SIMATIC S7 termékcsaládja széles körben elterjedt ipari környezetekben. A legfrissebb figyelmeztetés az alábbi termékvonalakat nevezi meg célpontként:
- S7-200 sorozat
- S7-300 sorozat
- S7-400 sorozat
- S7-1200 sorozat
- S7-1500 sorozat, beleértve az F-sorozatú biztonsági vezérlőket
A leginkább érintett ágazatok közé tartozik a kritikus gyártás, az energetika, a víz- és szennyvízkezelés, a vegyipar, az élelmiszeripar és mezőgazdaság, valamint a kereskedelmi létesítmények. A hatóságok arra is figyelmeztettek, hogy Siemens vezérlőket a védelmi ipari bázisban és más érzékeny környezetekben is használnak.
Az érintett eszközök széles köre azt mutatja, hogy a kampányt nem szabad kizárólag az elöregedett vezérlők problémájaként értelmezni. A régebbi S7-200, S7-300 és S7-400 rendszerekből hiányozhatnak a modernebb eszközök bizonyos biztonsági funkciói, de a frissebb S7-1200 és S7-1500 vezérlők is sebezhetővé válhatnak hibás konfiguráció, elavult firmware vagy gyenge hálózati architektúra miatt.
A Reuters szerint a figyelmeztetést olyan időszakban adták ki, amikor fokozott aggodalom övezi az Egyesült Államok több államának helyi víziközmű-rendszereit érintő kiberbiztonsági eseményeket. A szövetségi hatóságok egyelőre nem kapcsolták nyilvánosan a Siemens elleni aktivitást konkrét államhoz, bűnözői csoporthoz vagy hacktivista szervezethez.
Az attribúció hiányát azonban nem szabad úgy értelmezni, hogy a kampány kevéssé kifinomult. A leírt tevékenység – az elérhető vezérlők felkutatása, modellspecifikus képességek fejlesztése és működési információk gyűjtése – kémkedést, hacktivizmust vagy államilag támogatott romboló műveletek előkészítését is szolgálhatja.
Az AI csökkenti az ipari rendszerek támadásához szükséges belépési küszöböt
A kampány egyik legjelentősebb eleme a generatív mesterséges intelligencia állítólagos használata exploit-szkriptek létrehozására és finomhangolására.
Egy ipari vezérlő megtámadásához hagyományosan speciális ismeretek szükségesek az eszköz működéséről, automatizálási protokollokról, PLC-memóriáról és magáról a vezérelt fizikai folyamatról. A nyilvános dokumentációk és nyílt forráskódú könyvtárak ugyan csökkentették ezt a tudásküszöböt, de megbízható támadóeszközök készítése továbbra is jelentős szakértelmet igényelt.
Az AI-alapú kódoló rendszerek ezt tovább egyszerűsíthetik. Egy támadó nyilvános kézikönyvek, sérülékenységleírások, protokolldokumentációk és mintakódok alapján gyorsabban hozhat létre támadási szkripteket, hibákat kereshet bennük és különböző vezérlőmodellekhez igazíthatja őket.
A hatóságok szerint a fenyegetési szereplők mesterséges intelligenciát használnak a kezdeti hozzáféréshez, hitelesítő adatok megszerzéséhez, szolgáltatásmegtagadásos támadásokhoz és más célokhoz szükséges szkriptek előállítására. A támadók állítólag gyorsan módosítják a kódot a célrendszereken végzett tesztek eredményei alapján.
Ez nem jelenti azt, hogy a mesterséges intelligencia önállóan fedezett volna fel új módszereket minden Siemens vezérlő kompromittálására. A kampány elsősorban ismert gyengeségekre, nem biztonságos konfigurációkra, nyilvánosan elérhető szolgáltatásokra és technikai dokumentációkra támaszkodik. Az AI inkább felgyorsítja ezek használható támadóeszközökké alakítását.
Ennek komoly következményei vannak az ipari biztonsági csapatok számára. Egy sérülékenység közzététele és a működő exploitok megjelenése közötti idő lerövidülhet, miközben kevésbé tapasztalt támadók is képesek lehetnek olyan technikák reprodukálására, amelyek korábban mély ipari szakértelmet igényeltek.
A mesterséges intelligencia abban is segíthet, hogy a támadók eltérő firmware-verziókhoz vagy védelmi kontrollokhoz igazítsák eszközeiket. Egy sikertelen kapcsolat, váratlan válasz vagy protokollhiba visszaadható a kódoló modellnek, amely módosított megoldást generálhat.
Az eredmény tehát nem feltétlenül teljesen új támadási kategória, hanem a hosszú ideje ismert gyengeségek gyorsabb és nagyobb léptékű kihasználása.
Legitim Snap7 eszközöket használnak fel támadási célokra
A támadók a beszámolók szerint a snap7.dll és a python-snap7 komponenseket is beépítik egyedi Python-szkriptekbe.
A Snap7 egy nyílt forráskódú kommunikációs könyvtár, amely Siemens S7 vezérlőkkel történő kommunikációra szolgál. Legitim automatizálási, tesztelési, felügyeleti és integrációs célokra is széles körben használják, ezért puszta jelenléte önmagában nem jelent rosszindulatú tevékenységet.
Ugyanakkor ugyanez a funkcionalitás visszaélésre is alkalmas. A Snap7-kompatibilis eszközök az S7 protokollon keresztül kommunikálhatnak a vezérlőkkel, és az eszköz konfigurációjától, valamint a rendelkezésre álló védelmi mechanizmusoktól függően PLC-memóriaterületeket olvashatnak vagy írhatnak.
A figyelmeztetés szerint a támadók ipari monitorozó alkalmazásoknak álcázzák szkriptjeiket. Kapcsolódás után képesek lehetnek megvizsgálni a vezérlő tulajdonságait, adatblokkokat elérni, konfigurációs információkat gyűjteni és potenciálisan kapcsolatba lépni a ladder logikával – vagyis azzal a programmal, amely meghatározza, hogyan reagál a PLC az érzékelőadatokra és miként vezérli a fizikai berendezéseket.
A kettős felhasználhatóság megnehezíti a felismerést. Egy hagyományos vírusirtó számára a folyamat akár egyszerű Python-interpreternek és legitim könyvtárnak is tűnhet. A biztonsági csapatoknak ezért azt is vizsgálniuk kell, hogy ki, melyik munkaállomásról, mikor és milyen céllal használja az adott szoftvert.
A hatóságok javasolják minden olyan Snap7 könyvtár vagy S7-kompatibilis Python-szkript kivizsgálását, amely nem jóváhagyott mérnöki rendszeren jelenik meg. Figyelni kell az irodai munkaállomásokról, ismeretlen szerverekről vagy nem engedélyezett karbantartási eszközökről PLC-k felé irányuló kommunikációt is.
Internetes szkenneléssel keresik a nyilvánosan elérhető vezérlőket
A kampány sok esetben internetes felderítéssel kezdődik.
A fenyegetési szereplők olyan platformokat használnak, mint a Censys és a ZoomEye, hogy megtalálják a nyilvános internet felől elérhető ipari szolgáltatásokat. Ezek a rendszerek indexelik az internetre kapcsolt eszközöket, és információt szolgáltathatnak a terméktípusról, nyitott portokról és más technikai jellemzőkről.
A Siemens S7 kommunikáció gyakran a 102-es TCP-portot használja. Ha ez a szolgáltatás nyilvánosan elérhető, a támadó akár a vállalati hálózat előzetes kompromittálása nélkül is megpróbálhat kommunikálni a vezérlővel vagy egy köztes eszközzel.
A hatóságok szerint a támadók elavult szoftvert futtató, gyenge vagy alapértelmezett hitelesítő adatokat használó, illetve elégtelen hálózati szegmentációval működő vezérlőket keresnek. IP-tartományokat szkennelhetnek, CPU-tulajdonságokat kérdezhetnek le és különböző kapcsolati paramétereket próbálhatnak ki.
Nem minden nyitott port jelent sebezhető PLC-t, és önmagában a szkennelés sem bizonyít kompromittálást. Egy nem megbízható hálózatról közvetlenül elérhető vezérlő támadási felülete azonban lényegesen nagyobb, mint egy izolált ipari hálózatba helyezett rendszeré.
A figyelmeztetés ezért azt javasolja, hogy a szervezetek blokkolják a TCP 102-es portot a peremvédelmi tűzfalakon, és ne tegyék közvetlenül elérhetővé a PLC-ket az internetről.
Ha külső támogatási hozzáférés szükséges, annak szigorúan ellenőrzött távoli hozzáférési architektúrán keresztül kell működnie, többtényezős hitelesítéssel, naplózással, minimális jogosultságokkal és időben korlátozott engedélyezéssel.
Különösen fontos a rendszerintegrátorok és karbantartó partnerek által biztosított távoli hozzáférések ellenőrzése. Egy szervezet azt hiheti, hogy PLC-je izolált, miközben egy harmadik fél modemmel, mobilhálózati átjáróval, VPN-berendezéssel vagy más távoli menedzsmentmegoldással külső útvonalat hozott létre hozzá.
A felderítés későbbi működési zavar előkészítése lehet
A hatóságok értékelése szerint a megfigyelt tevékenység valószínűleg tartós felderítést és támadási képességek fejlesztését szolgálja.
Már az olvasási hozzáférés is megmutathatja, hogyan épül fel egy létesítmény vezérlőmemóriája, mely tagek kapcsolódnak fontos berendezésekhez és hogyan szerveződik a vezérlési logika. A támadók ezt később pontosabb műveletek kidolgozására használhatják.
Egy tetszőleges PLC-érték módosítása például egyszerűen leállíthat egy folyamatot és riasztást válthat ki. Egy komolyabb károkozásra törekvő ellenfélnek azonban ismernie kell az érzékelők, beavatkozók, biztonsági reteszelések és normál működési tartományok közötti kapcsolatot.
A felderítés ezt a kontextust teremtheti meg.
A támadók azt is megvizsgálhatják, hogy a vezérlők elfogadnak-e jogosulatlan írási parancsokat, hogyan reagálnak az üzemeltetők rendellenességekre, illetve a biztonsági rendszerek függetlenek-e az elsődleges vezérléstől.
Különösen aggasztó az S7-1500 F-sorozatú biztonsági vezérlők megjelenése a figyelmeztetésben, mivel ezek a rendszerek részt vehetnek veszélyes gépek vagy ipari folyamatok biztonságos állapotba hozásában.
A dokumentum nem állítja, hogy a támadók már megkerülték volna ezeket a biztonsági funkciókat. Arra figyelmeztet azonban, hogy a vezérlők körüli elégtelen védelem súlyos következményekkel járhat.
Ilyen következmény lehet a folyamatparaméterek módosítása, termelési sorrendek manipulálása, vészleállítási funkciók zavarása, termékminőség-romlás, berendezéskárosodás vagy hosszan tartó üzemszünet.
Összekapcsolt környezetekben egyetlen létesítmény problémája az adott telephelyen túl is továbbterjedhet. Egy víztisztító, vegyiüzem, energetikai létesítmény vagy nagy gyártó kiesése beszállítói láncokra és további ügyfelekre is hatással lehet.
A Siemens korábban még nem észlelt sérülékenység-kihasználást
Az új kormányzati figyelmeztetést érdemes összevetni a Siemens korábbi közléseivel.
Egy júliusban frissített biztonsági közleményben a Siemens jelezte, hogy az S7 vezérlőket az ipari infrastruktúrákat célzó tágabb kampányok lehetséges célpontjaiként azonosították. A vállalat arra kérte ügyfeleit, hogy telepítsék a legfrissebb frissítéseket, távolítsák el az eszközöket a nem megfelelően védett hálózatokról, valamint cseréljék le az alapértelmezett vagy gyenge jelszavakat.
A Siemens ugyanakkor akkor még azt közölte, hogy nem észlelt sérülékenység-kihasználást ICS-termékei ellen.
Ez nem feltétlenül mond ellent az új amerikai figyelmeztetésnek. Egy támadó szoftverhiba sikeres kihasználása nélkül is célba vehet egy terméket, például nyilvánosan elérhető szolgáltatásokon, ellopott hitelesítő adatokon, alapértelmezett beállításokon vagy gyenge hálózati architektúrán keresztül.
Az új figyelmeztetés is elsősorban képességfejlesztésről és tesztelésről beszél, nem pedig minden észlelt kapcsolat esetében bizonyított exploitálásról.
A közelmúlt Siemens-sérülékenységei tovább növelik a kitettséget
Bár a kormányzati figyelmeztetés nem egyetlen CVE-re épül, a Siemens 2026-ban több, ipari termékeket érintő biztonsági közleményt is kiadott.
Májusban több webes kezelőfelületet érintő sérülékenységet hozott nyilvánosságra SIMATIC S7 vezérlőkben és kapcsolódó termékekben. A legsúlyosabb CVSS v4 értéke 9,3 volt, és lehetővé tehette rosszindulatú szkriptek futtatását egy hitelesített felhasználó böngészős munkamenetében.
Egy másik biztonsági közlemény a CVE-2025-40943 jelű, S7-1500 termékeket érintő injection sérülékenységgel foglalkozott. Egy speciálisan kialakított trace fájl kódot futtathatott az engedélyezett felhasználó böngészős munkamenetében, és potenciálisan olyan PLC-műveleteket indíthatott, amelyekre az adott felhasználónak jogosultsága volt.
A Siemens dokumentálta továbbá a CVE-2025-40944 jelű szolgáltatásmegtagadási hibát is, amely bizonyos ET 200 eszközöket érint. Egy érvényes S7 protokollú bontási kérés működésképtelen állapotba hozhatta az eszközt, amelynek helyreállításához újraindításra volt szükség.
Ezek az esetek azt mutatják, hogy az üzemeltetők nem támaszkodhatnak egyetlen sürgősségi javításra. Az ipari környezetekben gyakran különböző generációjú eszközök, firmware-verziók és működési függőségek találhatók.
A hatékony védelemnek ezért a patch-elést hálózati szegmentációval, hozzáférés-korlátozással, protokollszintű monitorozással és mérnöki kontrollokkal kell kombinálnia.
A PLC-ket célzó korábbi kártevők története tovább növeli a kockázatot
A Siemens vezérlők kiemelkedő szerepet játszanak az ipari kibertámadások történetében.
A 2010-ben felfedezett Stuxnet Siemens S7 vezérlők logikáját manipulálta az iráni urándúsítási programban, miközben félrevezető adatokat mutatott az üzemeltetőknek. A kártevő bebizonyította, hogy a rosszindulatú kód túlmutathat az adatlopáson, és precízen megtervezett fizikai hatásokat is kiválthat.
Több mint egy évtizeddel később a kutatók felfedezték az INCONTROLLER, más néven PIPEDREAM moduláris ipari támadási keretrendszert, amely több szektorban használt ipari eszközök kezelésére volt alkalmas.
A Mandiant értékelése szerint az INCONTROLLER valószínűleg állami támogatású eszköz volt, és olyan képességekkel rendelkezett, amelyek működésmegzavarásra, szabotázsra, sőt potenciálisan fizikai károkozásra is alkalmasak lehettek.
A mostani Siemens-figyelmeztetés nem állítja, hogy az ismeretlen szereplők hasonló képességű malware-rel rendelkeznek. Ugyanakkor pontosan azokat a korai fázisokat írja le, amelyekből fejlettebb támadások kialakulhatnak: eszközfelderítés, protokoll-hozzáférés, környezetfeltérképezés, eszköztesztelés és előzetes pozícióépítés.
Mit kell azonnal megvizsgálniuk a védekező szervezeteknek?
A hatóságok arra kérik a szervezeteket, hogy készítsenek vagy ellenőrizzenek teljes nyilvántartást minden S7 vezérlőről, és rögzítsék azok modelljét, firmware-verzióját, hálózati helyét és működési szerepét.
A TIA Portal vagy STEP 7 szoftvert futtató mérnöki munkaállomásokat szintén fel kell térképezni, mivel ezek jellemzően magas jogosultsággal férnek hozzá a vezérlőkhöz.
Az üzemeltetőknek össze kell hasonlítaniuk az aktuális PLC-programokat és konfigurációkat megbízható offline biztonsági mentésekkel. A ladder logikában, adatblokkokban, firmware-ben vagy biztonsági beállításokban tapasztalt megmagyarázhatatlan eltéréseket ki kell vizsgálni.
Az internetes kitettséget prioritásként kell kezelni. A peremtűzfalak, felhőkapcsolatos átjárók, mobilhálózati kapcsolatok, beszállítói VPN-ek és távoli támogatási eszközök szabályait egyaránt ellenőrizni kell.
A monitorozásnak különösen az alábbiakra kell koncentrálnia:
- nem mérnöki rendszerekből érkező S7-kapcsolatok;
- sorozatos szkennelés;
- változó paraméterekkel történő ismételt lekérdezések;
- váratlan CPU-enumeráció;
- jóváhagyott karbantartási időablakon kívüli olvasási vagy írási műveletek;
- Snap7 könyvtárakat használó Python-folyamatok nem engedélyezett munkaállomásokon;
- ismeretlen ipari monitorozó eszközök;
- munkalappal vagy karbantartási engedéllyel nem alátámasztott módosítások;
- nem engedélyezett országokból vagy hálózatokból érkező S7-kommunikáció.
Ahol lehetséges, érdemes ipari protokollokat értelmező monitorozást alkalmazni, amely képes megkülönböztetni a normál PLC-kommunikációt a szokatlan PUT/GET műveletektől, tömeges olvasásoktól vagy konfigurációs változtatásoktól.
A PLC-k patch-elése üzemi tervezést igényel
Egy firmware-frissítés ipari környezetben nem olyan egyszerű, mint egy irodai számítógép frissítése.
Egy PLC folyamatosan működő folyamatot vezérelhet, így újraindítása termeléskiesést okozhat. A firmware-változás hatással lehet ember-gép interfészekre, távoli I/O-egységekre, hajtásokra, biztonsági rendszerekre és külső gyártók mérnöki szoftvereire is.
A hatóságok ezért azt javasolják, hogy a frissítéseket élesítés előtt fejlesztési vagy tesztkörnyezetben validálják.
Ha egy frissítés nem telepíthető azonnal, annak okát dokumentálni kell, és kompenzáló kontrollokat szükséges alkalmazni. Ilyen lehet a vezérlő izolálása, az engedélyezett forráscímek szűkítése, szükségtelen szolgáltatások kikapcsolása és az érintett hálózati szegmens fokozott monitorozása.
A régebbi vezérlők külön figyelmet igényelnek. Egyes modellek már nem kapnak teljes körű biztonsági frissítéseket, illetve nem támogatnak korszerű hitelesítést. Ilyen esetekben külső tűzfalak, biztonságos ipari átjárók és szigorúan ellenőrzött mérnöki hozzáférések válnak alapvetővé.
Egyre szűkül az ipari üzemeltetők reakcióideje
A kampány megmutatja, milyen gyorsan alakíthatók át a nyilvánosan rendelkezésre álló információk tényleges támadóeszközökké.
Egy támadónak már nem kell minden komponenst önállóan elkészítenie. Internetes keresőplatformokkal célpontokat találhat, nyílt forráskódú könyvtárakkal kommunikálhat ipari protokollokon, nyilvános sérülékenységi közleményekből gyengeségeket azonosíthat, a mesterséges intelligencia pedig segíthet ezeket működő szkriptekké összekapcsolni.
Ezen eszközök egyike sem rosszindulatú önmagában. Együtt azonban jelentősen lerövidíthetik a sérülékenység nyilvánosságra kerülése, a célpontok azonosítása és a támadási kísérlet közötti időt.
A kritikus infrastruktúrák üzemeltetői számára a legfontosabb tanulság, hogy egy PLC-t nem szabad biztonságosnak tekinteni pusztán azért, mert régi, kevéssé ismert vagy elvileg egy ipari hálózat belsejében található.
Az új figyelmeztetés összehangolt válaszlépést sürget az informatikai biztonsági csapatok, irányítástechnikai mérnökök, üzemeltetők, vezetők, rendszerintegrátorok és gyártók részéről. Mindegyik szereplő a kockázat más részéért felel: hálózati kitettségért, firmware-ért, vezérlési logika integritásáért, üzembiztonságért, karbantartási hozzáférésért vagy üzletmenet-folytonosságért.
A Siemens S7 rendszereket üzemeltető szervezeteknek abból kell kiindulniuk, hogy az internet felől elérhető vezérlők felfedezhetők, és akár már le is szkennelhették őket.
A legfontosabb azonnali teendők:
- a közvetlen internetes elérés megszüntetése;
- a vezérlők integritásának ellenőrzése;
- a távoli hozzáférések megerősítése;
- az alkalmazható frissítések telepítése;
- az engedély nélküli S7-kommunikáció felismerésére alkalmas monitorozás kialakítása.
A támadók végső célja továbbra sem ismert, de a hatóságok értékelése egyértelmű: az ipari vezérlők elleni felderítés és képességtesztelés későbbi működési beavatkozások előkészítése lehet.
Mire egy rosszindulatú írási parancs ténylegesen megzavar egy fizikai folyamatot, a behatolás megelőzésére rendelkezésre álló lehetőség már régen elmúlhatott.
