Il 22 luglio 2026 CISA, FBI, NSA, EPA, DOE, CNMF e Treasury hanno aggiornato un advisory congiunto su attacchi iraniani contro controllori logici programmabili (PLC) connessi direttamente a internet. L'allarme AA26-097A documenta una escalation da semplice defacement di interfacce HMI a sovrascrittura silenziosa di parametri di sicurezza operativi nei PLC Rockwell Automation, Schneider Electric e Siemens. La mossa rende il rilevamento più difficile e aumenta il rischio di impatto fisico su infrastrutture critiche statunitensi.
- Sette agenzie governative USA confermano exploitation attiva di PLC internet-esposti da parte di attori APT affiliati all'IRGC CEC, con attività osservata da marzo 2026.
- I meccanismi includono download di file di progetto malevoli che aggiungono ladder logic per sovrascrivere instruction set di sicurezza operativa, combinata con manipolazione di dati su display HMI/SCADA.
- L'aggiornamento di luglio 2026 espande lo scope da Rockwell Automation a Schneider Electric, Siemens e potenzialmente altri vendor, aggiungendo rilevamento per moduli di codice riutilizzabili alterati.
- L'advisory documenta interruzioni operative e perdite finanziarie in alcune vittime nei settori Government Services and Facilities, Water and Wastewater Systems, Energy.
Dal defacement alla modifica silenziosa della logica operativa
L'evoluzione tecnica documentata nell'aggiornamento del 22 luglio 2026 segnala un salto di qualità nelle capacità degli attori iraniani. In un caso esaminato dall'FBI, gli attori APT hanno scaricato un file di progetto malevolo su un PLC Rockwell Automation utilizzando software di configurazione standard. L'analisi ha rivelato che il file manteneva la ladder logic originale per le funzioni downstream ma aggiungeva logica che sovrascriveva instruction set specifici responsabili del mantenimento di parametri di sicurezza operativi nell'ambiente della vittima.
Contemporaneamente, gli attori manipolavano i dati visualizzati su interfacce HMI e sistemi SCADA. La combinazione crea una condizione pericolosa: i parametri fisici reali deviano da quelli mostrati agli operatori, ritardando la risposta agli incidenti e aumentando la finestra di tempo per danni alle apparecchiature o interruzioni di servizio.
L'advisory originale, pubblicato nell'aprile 2026, si concentrava su PLC Rockwell Automation/Allen-Bradley. L'aggiornamento di luglio aggiunge rilevamento per cambiamenti malevoli nei moduli di codice riutilizzabili (Add-On Instructions, routine) all'interno dei programmi Rockwell e espande esplicitamente lo scope a PLC Schneider Electric e Siemens, oltre ad altri potenziali vendor. L'espansione indica che le tecniche sono trasferibili tra piattaforme e non dipendono da vulnerabilità specifiche di un singolo produttore.
Indicatori tecnici e vettori di accesso
L'advisory pubblica indicatori di compromissione in formato STIX con oltre 20 indirizzi IPv4 e pattern MITRE ATT&CK per ICS, tra cui T0883 (Manipulate I/O Image), T0885 (Commonly Used Port), T0809 (Data Destruction), T1565.001 (Manipulate PLC Attributes), T1491.001 (Defacement Internal Message), T1041 (Exfiltration Over C2 Channel), T1219 (Remote Access Software). La presenza di T1565.001 conferma la modifica di attributi PLC come tecnica documentata, non ipotizzata.
Quattro porte di rete sono state identificate come monitorabili per traffico sospesso proveniente da hosting provider esteri: 44818 (EtherNet/IP), 2222, 102 (S7) e 502 (Modbus). Queste porte corrispondono ai protocolli industriali nativi dei PLC bersagliati, suggerendo che l'esposizione diretta a internet dei dispositivi OT sia il vettore principale di accesso, senza necessità di vulnerabilità zero-day o exploit sofisticati.
La malware family Dropbear è stata associata alla campagna nei file STIX storici di aprile 2026, indicando l'uso di strumenti di accesso remoto già noti nel panorama delle minacce ICS.
"In a few cases, this activity caused operational disruption and financial loss" — CISA Advisory AA26-097A, sezione Impact
Attribuzione e contesto geopolitico
L'advisory identifica gli attori come un gruppo APT affiliato al Cyber Electronic Command (CEC) del Corpo delle Guardie della Rivoluzione Islamica (IRGC), precedentemente noto in relazione all'attività di CyberAv3ngers o Shahid Kaveh Group. La precisazione è significativa: l'advisory collega la campagna 2026 a "Iranian-affiliated APT actors" e cita CyberAv3ngers come riferimento storico per attività simili, ma non conferma esplicitamente che si tratti dello stesso gruppo operativo.
La campagna storica di CyberAv3ngers, a partire da novembre 2023, aveva compromesso almeno 75 dispositivi PLC Unitronics. L'advisory del 2026 non menziona Unitronics tra i target attuali, segnalando un cambiamento di focus verso vendor più diffusi nell'infrastruttura critica statunitense.
Un passaggio dell'advisory collega direttamente l'escalation delle campagne di targeting all'hostilità in corso tra Iran, Stati Uniti e Israele. La frammentazione dell'attribuzione specifica e la natura di "affiliazione" piuttosto che di identità confermata lasciano spazio a una lettura cauta: il CEC iraniano potrebbe fungere da contenitore per multiple unità operative con tecniche condivise ma non necessariamente coordinate centralmente.
Cosa fare adesso
L'advisory AA26-097A elenca azioni prioritarie per operatori OT e integratori:
- Verificare l'esposizione a internet di PLC, HMI e altri dispositivi OT: l'advisory sottolinea che la connessione diretta a internet è la condizione abilitante dell'attacco. Rimuovere l'esposizione pubblica ove non strettamente necessaria.
- Monitorare il traffico sulle porte 44818, 2222, 102, 502 per connessioni da hosting provider esteri, utilizzando gli IOCs STIX pubblicati da CISA per integrazione nei sistemi di rilevamento.
- Implementare revisioni periodiche dei file di progetto PLC, con confronto di hash o versioni note, per identificare aggiunte di ladder logic o modifiche ai moduli di codice riutilizzabili.
- Validare i dati visualizzati su HMI/SCADA confrontandoli con letture indipendenti dai sensori di campo, per rilevare discrepanze indicanti manipolazione del processo.
I limiti del dossier e cosa non è documentato
L'advisory non quantifica il numero esatto di vittime nella campagna 2026, indicando solo "several" vittime in "multiple sectors". Le perdite finanziarie sono menzionate ma non specificate in importi. Non emergono CVE assegnate per le tecniche descritte: l'attacco si basa su manipolazione di file di configurazione su dispositivi già accessibili, non su sfruttamento di vulnerabilità software con identificatore. La durata dell'accesso persistente nelle vittime prima del rilevamento non è dichiarata. La geolocalizzazione precisa degli indicatori IP rimane non specificata oltre la genericità "hosting provider esteri".
L'identità precisa del gruppo APT oltre l'affiliazione IRGC CEC non è esplicitamente confermata: la sovrapposizione con CyberAv3ngers è presentata come riferimento storico, non come identità operativa verificata del gruppo attivo nel 2026.
Perché la manipolazione dei parametri di sicurezza cambia la partita
La differenza tra un attacco che rende visibile il proprio passaggio e uno che altera silenziosamente i limiti di sicurezza fisica è la differenza tra vandalismo e sabotaggio operativo. I PLC esposti a internet non sono una novità; la consapevolezza che attori statali li stanno modificando per sovrascrivere parametri di protezione delle apparecchiature, invece di limitarsi a defacciare schermate, segna una normalizzazione del rischio fisico nel cyberspazio.
Per i settori acqua ed energia, dove i parametri di sicurezza operativa proteggono sia le apparecchiature che la salute pubblica, la capacità di manipolare questi valori senza allarmare gli operatori rappresenta un salto qualitativo nella minaccia. L'aggiornamento di luglio 2026, con sette agenzie firmatarie, riflette una valutazione che questa evoluzione tecnica merita risposta istituzionale coordinata, non solo allerta tecnica.
Domande frequenti
- Questo attacco sfrutta una vulnerabilità zero-day nei PLC?
- No. L'advisory descrive exploitation di dispositivi OT già connessi a internet attraverso manipolazione di file di progetto e logica operativa, non sfruttamento di vulnerabilità software specifiche con CVE assegnata.
- CyberAv3ngers è confermato come il gruppo responsabile della campagna 2026?
- No. L'advisory cita CyberAv3ngers come gruppo storicamente affiliato all'IRGC CEC con attività simile, ma attribuisce la campagna 2026 a "Iranian-affiliated APT actors" senza confermare l'identità operativa specifica.
- Perché l'aggiornamento di luglio 2026 è significativo?
- Aggiunge rilevamento per moduli di codice riutilizzabili alterati nei programmi Rockwell Automation ed espande esplicitamente lo scope a Schneider Electric e Siemens, indicando trasferibilità delle tecniche tra piattaforme diverse.
Fonti
- https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a
- https://www.arcweb.com/blog/cisa-fbi-epa-us-government-partners-update-warning-iran-affiliated-threat-actors-targeting
- https://www.afcea.org/signal-media/cyber-edge/cisa-and-partners-revise-iranian-affiliated-plc-threat-advisory
- https://www.cisa.gov/sites/default/files/2026-07/AA26-097A.stix_.xml
- https://www.cisa.gov/sites/default/files/2026-07/AA26-097A.stix_.json
- https://www.cisa.gov/sites/default/files/2026-04/AA26-097A.stix_.xml
- https://www.cisa.gov/sites/default/files/2026-04/AA26-097A.stix_.json
- https://www.cisa.gov/topics/critical-infrastructure-security-and-resilience/critical-infrastructure-sectors/government-services-facilities-sector
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.