США предупреждают о том, что иранские хакеры атакуют объекты критической инфраструктуры.

[zender]

Связанные с Ираном хакеры атакуют программируемые логические контроллеры (ПЛК) Rockwell/Allen-Bradley, имеющие прямой доступ в Интернет, в сетях американских организаций, представляющих критическую инфраструктуру.


Предупреждение прозвучало сегодня ранее в виде совместного заявления, подготовленного ФБР, CISA, NSA, Агентством по охране окружающей среды (EPA), Министерством энергетики (DOE) и Киберкомандованием США – Национальными силами кибербезопасности (CNMF).


Ведомства, ответственные за эти атаки, заявили, что они направлены против организаций в различных секторах критической инфраструктуры США (включая государственные службы и объекты, системы водоснабжения и водоотведения, а также энергетику) и привели к финансовым потерям и сбоям в работе с марта 2026 года.

«ФБР считает, что группа связанных с Ираном APT-атак нацелена на программируемые логические контроллеры (ПЛК) с доступом в интернет с целью вызвать сбои в работе американских организаций критической инфраструктуры, включая злонамеренное взаимодействие с файлами проекта и манипулирование данными, отображаемыми на HMI и SCADA-дисплеях», — предупреждается в предупреждении .


«В последнее время участились целенаправленные атаки APT-группировок, связанных с Ираном, против американских организаций, вероятно, в ответ на враждебные действия между Ираном, Соединенными Штатами и Израилем».

«ФБР установило, что в результате этой деятельности был извлечен проектный файл устройства и произведена манипуляция данными на дисплеях HMI и SCADA», — добавили американские ведомства.


Аналогичное предупреждение, выпущенное в ноябре 2023 года, сообщало о том, что группа киберпреступников CyberAv3ngers, связанная с Корпусом стражей исламской революции (КСИР) иранского правительства, использовала уязвимости в операционных технологических системах (ОТ) компании Unitronics, базирующейся в США.

В период с ноября 2023 года по январь 2024 года хакеры из CyberAv3ngers взломали как минимум 75 устройств ПЛК Unitronics в ходе нескольких волн кибератак, половина из которых пришлась на сети критической инфраструктуры WWS.


Для защиты от подобных атак сетевым специалистам рекомендуется отключать ПЛК от Интернета или защищать их с помощью брандмауэра, сканировать журналы на наличие признаков компрометации, упомянутых в сегодняшнем совместном уведомлении, и проверять наличие подозрительного трафика на портах OT (особенно трафика, исходящего от зарубежных хостинг-провайдеров).


Также необходимо внедрить многофакторную аутентификацию (МФА) для доступа к сети OT, обновлять ПЛК до последней доступной версии микропрограммного обеспечения, отключать все неиспользуемые службы и методы аутентификации (например, ключи аутентификации по умолчанию) и отслеживать сетевой трафик на предмет подозрительной активности.

В прошлом месяце связанная с Ираном и пропалестинская хакерская группа Handala стерла данные примерно с 80 000 устройств в сети американского медицинского гиганта Stryker, включая мобильные устройства сотрудников и персональные компьютеры, находящиеся под управлением компании.


ФБР также предупредило, что иранские хакеры, связанные с Министерством разведки и безопасности страны (МОИС), используют Telegram для вредоносных атак .