Hackers vinculados a Irán atacan PLCs Rockwell/Allen-Bradley en infraestructuras críticas de EE. UU.
1. Introducción
En las últimas semanas, diversos informes de organismos de ciberseguridad estadounidenses han alertado sobre una campaña activa de ciberataques dirigida contra infraestructuras críticas del país. Los responsables serían grupos de amenazas persistentes avanzadas (APT) vinculados a Irán, quienes han puesto en su punto de mira los controladores lógicos programables (PLC) de la marca Rockwell Automation/Allen-Bradley, ampliamente empleados en sectores industriales. Este artículo ofrece un análisis en profundidad de la amenaza, sus vectores de ataque, implicaciones y las medidas recomendadas para mitigar el riesgo.
2. Contexto del Incidente
La alerta fue emitida tras la detección de actividad maliciosa que afectaba a redes de organizaciones estadounidenses que operan infraestructuras esenciales, incluyendo energía, agua, manufactura y transporte. Los atacantes han centrado sus esfuerzos en dispositivos PLC Allen-Bradley expuestos a Internet sin las debidas medidas de seguridad, aprovechando principalmente configuraciones por defecto y vulnerabilidades conocidas.
El informe destaca que la motivación detrás de estos ataques va más allá del espionaje, buscando potencialmente la interrupción de procesos industriales críticos, lo que podría derivar en daños económicos severos y riesgos para la seguridad pública. La exposición de estos dispositivos en Shodan y otras plataformas de escaneo facilita su identificación y explotación a escala global.
3. Detalles Técnicos
Los dispositivos afectados corresponden a la familia Allen-Bradley ControlLogix y MicroLogix, concretamente las series 1100, 1400 y CompactLogix. Los atacantes han explotado vulnerabilidades documentadas, como CVE-2021-22681, una debilidad crítica en la gestión de certificados y autenticación en el software Studio 5000 Logix Designer (usado para la programación de estos PLCs).
El vector de ataque principal consiste en el acceso remoto no autorizado a los PLC mediante protocolos industriales estándar (EtherNet/IP y CIP), muchas veces expuestos sin firewall ni autenticación reforzada. En algunos casos, los actores han utilizado herramientas de explotación automatizada basadas en frameworks como Metasploit y scripts personalizados en Python, permitiendo operaciones como la manipulación de lógicas de control, el stop/start de procesos industriales y la obtención de credenciales.
TTPs (Tácticas, Técnicas y Procedimientos) observados según MITRE ATT&CK para ICS incluyen:
– Initial Access: External Remote Services (T0811)
– Execution: Manipulation of Control (T0831)
– Collection: Automated Collection (T0802)
– Impact: Loss of Control (T0828)
Indicadores de Compromiso (IoC):
– Conexiones entrantes sospechosas desde rangos IP asociados históricamente a APT34 (OilRig) y APT33 (Elfin).
– Modificaciones no autorizadas en la lógica de PLCs.
– Uso de firmas de herramientas de escaneo industrial como PLCScan y scripts para explotación de CVE-2021-22681.
4. Impacto y Riesgos
El control remoto de PLCs en infraestructuras críticas puede tener consecuencias devastadoras: desde la interrupción del suministro eléctrico, la parada de plantas de tratamiento de agua o fallos en líneas de montaje, hasta potenciales daños físicos a la maquinaria. Además, la manipulación de estos dispositivos puede pasar desapercibida si no se dispone de una monitorización ICS/SCADA avanzada.
Según CISA, más del 14% de los PLC Allen-Bradley identificados en EE. UU. permanecen accesibles desde Internet, y se estima que el potencial económico de los daños derivados de un compromiso exitoso podría superar los 500 millones de dólares solo en el sector energético. Además, el incidente subraya riesgos de cumplimiento con normativas como la NIS2 europea y la obligatoriedad de reporte bajo la ley estadounidense CIRCIA.
5. Medidas de Mitigación y Recomendaciones
– Desconectar inmediatamente de Internet todos los PLC Allen-Bradley expuestos y restringir el acceso mediante VPNs seguras.
– Actualizar el firmware de los dispositivos y el software Studio 5000 Logix Designer a las versiones más recientes, asegurando la aplicación de parches para CVE-2021-22681 y otras vulnerabilidades críticas.
– Implementar segmentación de red y firewalls específicos para protocolos industriales (Deep Packet Inspection para EtherNet/IP).
– Habilitar el registro y monitorización de eventos en los dispositivos ICS y establecer alertas ante cambios no autorizados en la lógica de los PLC.
– Realizar pentests y auditorías periódicas de la superficie de exposición ICS, empleando herramientas como Nessus, Nexpose y módulos de Metasploit dedicados a protocolos industriales.
6. Opinión de Expertos
Expertos del SANS ICS y Dragos Inc. coinciden en que la exposición directa de dispositivos de automatización industrial a Internet sigue siendo uno de los mayores errores de arquitectura en entornos críticos. “La falta de segmentación y la persistencia de configuraciones por defecto abren la puerta a actores estatales con recursos y motivaciones no solo económicas, sino también de sabotaje”, advierte Robert M. Lee, CEO de Dragos. Añade que “la mayor amenaza para la resiliencia industrial son los accesos remotos no controlados y la escasa visibilidad sobre los cambios lógicos en los PLC”.
7. Implicaciones para Empresas y Usuarios
Este incidente resalta la urgente necesidad de revisar la arquitectura de red industrial y reforzar las medidas de seguridad en todos los niveles del ciclo de vida del ICS. Las organizaciones deben realizar un inventario actualizado de activos, implementar Zero Trust en la red OT y concienciar al personal sobre las mejores prácticas de seguridad. El cumplimiento con regulaciones como NIS2 y GDPR exige la notificación temprana de incidentes y la protección efectiva de los sistemas industriales frente a actores avanzados.
8. Conclusiones
La campaña de ataques dirigidos a PLCs Allen-Bradley pone de manifiesto el interés creciente de grupos APT por las infraestructuras industriales y la urgencia de proteger los sistemas de control ante amenazas cada vez más sofisticadas. Solo una estrategia combinada de actualización tecnológica, monitorización proactiva y formación especializada puede mitigar el riesgo y salvaguardar los procesos críticos.
(Fuente: www.bleepingcomputer.com)