Iraniani hanno colpito PLCs Rockwell: oltre 30 sistemi idrici…

Attori APT affiliati all'Iran hanno sfruttato la CVE-2021-22681 nei PLC Rockwell, Schneider e Siemens. L'aggiornamento dell'avviso congiunto CISA-FBI del 22 luglio

Il 22 luglio 2026 CISA, FBI, NSA, EPA, DOE, CNMF e Treasury hanno aggiornato l'avviso congiunto AA26-097A. Il documento descrive attività in corso da marzo 2026: attori APT affiliati all'Iran stanno compromettendo PLC esposti a Internet in infrastrutture critiche statunitensi. L'aggiornamento è stato pubblicato dopo che, il 26-27 luglio, oltre 30 sistemi idrici e fognari del Minnesota sono stati colpiti in un attacco coordinato.

Punti chiave

Gli attori iraniani usano software di ingegneria legittimo (Rockwell Studio 5000, Schneider EcoStruxure, Siemens TIA Portal) per caricare file progetto malevoli su PLC esposti a Internet.
La CVE-2021-22681, con punteggio CVSS 9.8, interessa i controller Rockwell Logix; Rockwell ha confermato che non esiste patch né è prevista.
Censys ha rilevato 5.219 host Rockwell/Allen-Bradley esposti globalmente ad aprile 2026, di cui 3.891 (74,6%) negli Stati Uniti.
L'avviso del 22 luglio 2026 ha espanso la portata da Rockwell a Schneider Electric (BMX P34, Modicon M340) e Siemens (S7-1200).

Il meccanismo: software legittimo come vettore di attacco

Gli attaccanti non impiegano malware custom né zero-day. Secondo l'avviso CISA, utilizzano copie lecite di software di configurazione PLC ospitate su infrastrutture noleggiate all'estero. Da lì scaricano file progetto malevoli sui controller, modificano le Add-On Instructions (AOI), alterano i display HMI/SCADA e disattivano la logica di arresto di sicurezza.

In una vittima confermata, il file progetto malevolo ha mantenuto la logica ladder a valle ma ha aggiunto istruzioni che sovrascrivono i parametri operativi sicuri. Gli operatori non hanno ricevuto allarmi perché i dati HMI/SCADA erano stati falsificati. La conseguenza: stati fisici non sicuri mascherati da normalità operativa.

L'avviso CISA indica che gli attaccanti hanno usato Dropbear SSH su modem cellulari delle vittime per accesso remoto. La fonte non specifica se questo meccanismo sia stato impiegato nei sistemi del Minnesota.

"Iranian cyber actors continue to target U.S. critical infrastructure, and the FBI is committed to identifying, disrupting, and imposing costs on those responsible" — Brett Leatherman, Assistant Director, FBI Cyber Division

La vulnerabilità senza patch: CVE-2021-22681

La CVE-2021-22681 interessa i controller Rockwell Logix e presenta punteggio CVSS 3.1 di 9.8 (critico). Secondo l'analisi di Tenable Research, il difetto consiste in una chiave crittografica embedded nel software Studio 5000 Logix Designer, che consente impersonificazione e accesso non autenticato al controller.

Rockwell Automation ha confermato che non esiste patch né è prevista. CISA ha aggiunto il difetto al catalogo KEV (Known Exploited Vulnerabilities) a seguito della conferma di sfruttamento in-the-wild a partire da marzo 2026.

Per Schneider Electric e Siemens, l'avviso del 22 luglio 2026 indica che i device BMX P34, Modicon M340 e S7-1200 sono ora nel mirino. Il brief non stabilisce se la stessa CVE-2021-22681 li riguardi o se gli attaccanti utilizzino meccanismi diversi.

L'ondata sul Minnesota: impatto sui sistemi idrici

Il 26-27 luglio 2026 un attacco coordinato ha colpito oltre 30 sistemi idrici e fognari del Minnesota. A Braham, comune di circa 1.700 abitanti, l'impianto di trattamento è stato temporaneamente chiuso. A Plymouth, città di circa 80.000 abitanti, le autorità hanno preventivamente disconnesso l'apparato cellulare connesso. Maple Plain ha dichiarato stato di emergenza.

Il Minnesota IT Services (MNIT) ha confermato l'attacco coordinato; l'indagine è attiva. Secondo la valutazione di Tenable Research, il pattern operativo è coerente con l'ecosistema CyberAv3ngers. L'avviso governativo utilizza la designazione generica "Iranian-affiliated APT actors" senza attribuzione ufficiale a gruppo specifico.

Le agenzie autorali valutano che l'attività intenda causare effetti dirompenti negli Stati Uniti, probabilmente in risposta alle tensioni Iran-USA-Israele.

"Minnesota's local governments are expected to defend essential systems against foreign adversaries and sophisticated criminals, often with limited staff, aging technology and inadequate resources" — Nate George, Sindaco di Braham

Cosa fare adesso

L'aggiornamento CISA del 22 luglio 2026 include indicazioni per gli operatori di infrastrutture critiche:

Rimuovere i PLC da esposizione diretta a Internet; dove non possibile, applicare segmentazione di rete rigida tra OT e IT.
Verificare i file progetto per rilevamento di AOI modificate malevolamente, secondo la nuova guida CISA pubblicata nell'aggiornamento.
Consultare i file STIX XML e JSON pubblicati da CISA, che contengono 22 indicatori IPv4 con timeframe di associazione all'attore tra gennaio 2025 e luglio 2026, mappati sulle tecniche MITRE ATT&CK T0883, T0885, T1041, T1219, T1565.

Cosa non sappiamo

Il brief lascia aperti diversi punti. Non è stabilito se nei sistemi del Minnesota sia avvenuta esfiltrazione di dati. Non è confermato se gli attaccanti abbiano causato danni fisici o solo interruzione operativa. Non è noto se Schneider e Siemens siano stati colpiti tramite la stessa CVE-2021-22681 o attraverso vulnerabilità diverse. Non è stata annunciata attribuzione governativa ufficiale a un gruppo specifico.

Il quadro

L'aggiornamento del 22 luglio 2026 non è un avviso preventivo ma un documento su attività in corso da mesi. L'attacco del Minnesota è avvenuto dopo la pubblicazione dell'aggiornamento, dimostrando che la campagna continua. La combinazione di vulnerabilità senza patch, software legittimo come vettore e target di piccole dimensioni con risorse limitate rende questa minaccia particolarmente difficile da contrastare con le misure tradizionali.

Fonti

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti