Siemens S7: US-Behörden warnen vor aktiven Angriffen
Siemens S7 stehen im Fokus einer aktiven Cyberbedrohung. US-Behörden warnen vor Angreifern, die mit KI-generierten Skripten exponierte und unzureichend geschützte PLCs ins Visier nehmen.
Nach Angaben der Behörden führen Angreifer Aufklärungsaktivitäten durch und entwickeln Fähigkeiten gegen Siemens-PLC-Installationen in den USA. Dabei kommen KI-generierte Exploitation-Skripte zum Einsatz, die als legitime Monitoring-Werkzeuge getarnt werden.
Anzeige
Die Akteure nutzen Internet-Scanning-Dienste, um über das Internet erreichbare Siemens S7 mit veralteter Software oder unzureichender Absicherung zu identifizieren. Besonders im Fokus stehen kritische Infrastrukturen aus den Bereichen Fertigung, Energie, Wasser und Abwasser, Chemie, Lebensmittel und Landwirtschaft sowie gewerbliche Einrichtungen.
Die Behörden betonen ausdrücklich, dass es sich nicht um ein theoretisches Risiko, sondern um eine aktive Bedrohung handelt.
Nach der Mitteilung zielen die Aktivitäten auf mehrere Generationen der Siemens-S7-Familie. Genannt werden die Baureihen S7-200, S7-300, S7-400, S7-1200 und S7-1500. Bei der S7-1500 sind demnach auch F-Series-Sicherheitssteuerungen betroffen.
Die Angreifer setzen KI ein, um anhand öffentlich verfügbarer Informationen Exploitation-Skripte zu erzeugen. Diese können unter anderem dem initialen Zugriff, dem Zugriff auf Zugangsdaten oder Denial-of-Service-Aktivitäten dienen.
Die Behörden sehen in der KI-Unterstützung eine Weiterentwicklung der Angriffsmöglichkeiten. Sie reduziere den technischen Aufwand und die benötigte Zeit für die Entwicklung funktionierender Angriffsskripte gegen industrielle Steuerungssysteme. Gleichzeitig könnten Angreifer zusätzliche Angriffsvektoren schneller erschließen und ihre Vorgehensweise an Abwehrmaßnahmen anpassen.
Anzeige
Angreifer tarnen Werkzeuge als OT-Monitoring
Technisch setzen die Akteure laut Advisory unter anderem auf die Open-Source-Bibliotheken snap7.dll beziehungsweise python-snap7. In Kombination mit KI-gestützter Skripterstellung entstehen daraus individuelle Werkzeuge, die legitime OT-Monitoring-Lösungen imitieren.
Über das S7comm-Protokoll können diese Werkzeuge Lese- und Schreibzugriffe auf Speicher, Konfigurationsdaten und Programme der Siemens-S7-Steuerungen ermöglichen.
Anzeige
Zu den beobachteten Vorgehensweisen gehört außerdem die Nutzung von Internet-Scanning-Diensten wie Censys und ZoomEye. Hinzu kommen Zugriffe über unsichere oder nur minimal konfigurierte Anmeldedaten sowie der Einsatz KI-generierter Python-Skripte.
Nach Einschätzung der beteiligten Behörden dient dieses Aktivitätsmuster wahrscheinlich einer dauerhaften Aufklärung in ausgewählten Branchen und Anlagen. Dabei sollen Angriffstechniken für bestimmte PLC-Modelle getestet und weiterentwickelt werden.
Lesezugriffe können zugleich Informationen über die Zielumgebung liefern. Damit könnten sich Akteure auf spätere Schreiboperationen vorbereiten, die Betriebsabläufe stören oder andere operative Auswirkungen verursachen.
Anzeige
Welche Folgen drohen für industrielle Anlagen?
Ein unbefugter Zugriff auf Siemens S7 kann laut Advisory erhebliche Auswirkungen auf den Anlagenbetrieb haben. Genannt werden Störungen kritischer industrieller Prozesse, die Produktionsdurchsatz, Produktqualität und öffentliche Dienstleistungen beeinträchtigen können.
Auch Sicherheitsvorfälle sind möglich. Als Beispiele führen die Behörden Manipulationen an Sicherheitsverriegelungen, Notabschaltsystemen oder Prozessparametern an. Prozessstörungen, falsche Ablaufsequenzen oder ein Betrieb von Maschinen außerhalb ihrer Auslegungsparameter könnten zudem Schäden an Anlagen und längere Stillstände verursachen.
Anzeige
Darüber hinaus besteht die Gefahr, dass sensible Betriebsdaten kompromittiert werden. Dazu zählen proprietäre Prozessrezepte, Steuerungsstrategien und Anlagenkonfigurationen. In vernetzten Umgebungen könnten sich Auswirkungen zudem auf Lieferketten, abhängige Einrichtungen und integrierte Geschäftsprozesse ausweiten.
Die Behörden empfehlen eine mehrstufige Defense-in-Depth-Strategie. Ausgangspunkt ist eine vollständige Bestandsaufnahme aller Siemens-S7-Steuerungen. Betreiber sollen Firmwarestände der S7-200, S7-300, S7-400, S7-1200 und S7-1500 prüfen sowie Systeme identifizieren, die direkt oder indirekt aus nicht vertrauenswürdigen Netzen erreichbar sind.
Kritische Sicherheitsupdates sollen möglichst schnell eingespielt werden. Besonders zu priorisieren sind Steuerungen, die aus dem Internet erreichbar sind oder sich in einer demilitarisierten Zone befinden. Auch TIA Portal und STEP 7 sollen auf aktuelle Versionen gebracht werden. Updates sollen vor dem Einsatz in der Produktion in einer Entwicklungsumgebung getestet werden.
Ein weiterer Schwerpunkt ist die Netzwerksegmentierung. Siemens-S7-Steuerungen sollen nicht aus dem Internet erreichbar sein. Die Behörden empfehlen, Firewall-Regeln auf exponierte S7comm-Dienste zu prüfen und TCP-Port 102 an Perimeter-Firewalls vollständig zu blockieren. OT- und IT-Netze sollen über eine DMZ-Architektur voneinander getrennt werden.
Monitoring soll ungewöhnliche PLC-Zugriffe erkennen
Neben der Prävention spielt die Erkennung verdächtiger Aktivitäten eine zentrale Rolle. Betreiber sollen auf ungewöhnliches S7comm-Verhalten achten. Dazu zählen Verbindungen von Arbeitsplätzen, die nicht für Engineering-Aufgaben vorgesehen sind, ungewöhnliche Zugriffe auf Datenblöcke oder Schreiboperationen außerhalb definierter Änderungsfenster.
Weitere Indikatoren können sequenzielle IP-Scans auf Port 102, wiederholte Verbindungsversuche, ungewöhnliche Zugriffszeiten oder Verbindungen aus unerwarteten Ländern und IP-Bereichen sein.
Auch snap7.dll außerhalb autorisierter Engineering-Arbeitsplätze sowie Python-Skripte mit S7comm-Funktionalität können Hinweise auf verdächtige Aktivitäten liefern.
Die Behörden empfehlen darüber hinaus, den Zugriff über TIA Portal und STEP 7 auf autorisierte Engineering-Arbeitsplätze zu beschränken, Passwortschutz und verfügbare Schutzstufen auf Siemens-S7-Steuerungen zu aktivieren sowie Multi-Faktor-Authentifizierung für Fernzugriffe auf OT-Netze einzusetzen.
Zur spezifischen Absicherung der Steuerungen sollen nicht benötigte Dienste und Kommunikationsprotokolle deaktiviert werden. Dazu gehören Webserver sowie beispielsweise Modbus TCP oder PROFINET, sofern diese für den Betrieb nicht erforderlich sind.
Zusätzlich sollen die verfügbaren Verbindungsressourcen so konfiguriert werden, dass die Zahl gleichzeitiger S7comm-Sitzungen begrenzt wird. Wo verfügbar, empfehlen die Behörden zudem Schutzfunktionen von TIA Portal und STEP 7 sowie die Prüfung auf Veränderungen der Ladder Logic.
Für CPU- und Firmware-spezifische Maßnahmen sollen Betreiber Siemens Technical Support einbeziehen. Dabei geht es unter anderem um die Kompatibilität von Patches mit der jeweiligen Betriebsumgebung und Drittanbieterintegrationen.
Die Behörden führen die hohe Angriffsgefahr auf das Zusammenspiel bekannter Schwachstellen, verfügbarer Exploitation-Bibliotheken und KI-gestützter Entwicklung zurück. Betreiber sollen deshalb Sicherheits-, Engineering-, Management-, Anlagenbetriebs- und Herstellerteams bei der Umsetzung der empfohlenen Maßnahmen koordinieren.
Mit Material der CISA
Was Sie zum Thema Cyber-Abgriffe auf Siemens S7 wissen müssen
• Welche Siemens S7 sind von der Cyberbedrohung betroffen? – Die Behörden nennen die Baureihen S7-200, S7-300, S7-400, S7-1200 und S7-1500 einschließlich F-Series-Sicherheitssteuerungen.
• Wie greifen Angreifer Siemens S7 an? – Sie suchen unter anderem nach exponierten PLCs und setzen KI-generierte Skripte sowie öffentlich verfügbare Automatisierungsbibliotheken ein.
• Welche Risiken bestehen bei Siemens S7? – Mögliche Folgen reichen von Prozessstörungen und Ausfallzeiten bis zu Sicherheitsvorfällen, Anlagenschäden und kompromittierten Betriebsdaten.
• Wie lassen sich Siemens S7 besser schützen? – Empfohlen werden unter anderem aktuelle Sicherheitsupdates, Netzwerksegmentierung, starke Zugriffskontrollen, Monitoring und die Härtung nicht benötigter Dienste.
• Warum spielt KI bei Angriffen auf Siemens S7 eine Rolle? – Laut den Behörden reduziert KI den technischen Aufwand und die Zeit zur Entwicklung von Exploitation-Skripten und erleichtert die schnelle Anpassung von Angriffswerkzeugen.
