Iran-linked APT manipolano PLC e dati HMI: l'aggiornamento CISA…

CISA, FBI, NSA, EPA, DOE, CNMF e Treasury aggiornano l'avviso AA26-097A: attori affiliati all'Iran compromettono PLC Rockwell, Schneider e Siemens modificando logica

Gli attori APT affiliati all'Iran hanno compromesso PLC di tre principali vendor di automazione industriale — Rockwell Automation, Schneider Electric e Siemens — per alterare la logica di controllo e manipolare i dati visualizzati sui sistemi HMI/SCADA. L'aggiornamento dell'avviso AA26-097A, pubblicato il 22 luglio 2026 da CISA insieme a FBI, NSA, EPA, DOE, Cyber National Mission Force (CNMF) e Department of the Treasury, conferma che la campagna è attiva da almeno marzo 2026 e ha già causato disruzioni operative e perdite finanziarie a vittime statunitensi nei settori dell'acqua, dell'energia e dei servizi governativi.

Punti chiave

Sette agenzie federali aggiornano l'avviso del 7 aprile: la campagna Iran-linked ora colpisce anche PLC Schneider Electric e Siemens, oltre ai già noti Rockwell Automation.
Gli attaccanti usano software di ingegneria legittimo — Studio 5000 Logix Designer, EcoStruxure Control Expert, TIA Portal — per modificare ladder logic e sovrascrivere limiti di sicurezza operativa.
I dati sui display HMI/SCADA mostrano condizioni normali mentre il processo fisico diventa unsafe, neutralizzando l'intervento umano.
La persistenza si appoggia a Dropbear SSH su modem cellulari; i dati STIX ufficiali confermano oltre venti indicatori IP con timestamp di attività da marzo a luglio 2026.

Come funziona la manipolazione dei PLC

Il meccanismo d'attacco non si basa su malware tradizionale. Secondo l'avviso CISA, gli attori si connettono da infrastruttura noleggiata all'estero ai PLC esposti direttamente su Internet, utilizzando le stesse applicazioni che gli integratori di sistema impiegano per la programmazione. Scaricano i file di progetto e li modificano aggiungendo istruzioni che sovrascrivono i parametri di sicurezza operativa. L'avviso documenta: "added logic that overrode specific instruction sets responsible for maintaining safe operating parameters".

L'elemento più insidioso è la manipolazione dei dati HMI/SCADA. L'avviso ufficiale riporta "malicious interactions with the project file and manipulation of data on HMI and SCADA displays": i valori di processo che l'operatore osserva non corrispondono più allo stato fisico dell'impianto. In ambienti OT, l'intervento umano rappresenta l'ultima linea di difesa; quando i display mostrano parametri normali durante condizioni fisiche anomale, questa linea di difesa viene neutralizzata.

L'aggiornamento di luglio 2026 aggiunge una guidance specifica per il rilevamento di modifiche malevole nelle Add-On Instructions (AOI) riutilizzabili nei programmi Rockwell. Questo dettaglio tecnico indica che gli attaccanti stanno strumentalizzando componenti modulari legittimi per distribuire logica alterata attraverso più macchine.

Dal settore acqua all'energia: l'espansione della campagna

L'avviso originale del 7 aprile 2026 si concentrava su PLC Rockwell Automation/Allen-Bradley: i modelli CompactLogix e Micro850. L'aggiornamento del 22 luglio estende lo scope a Schneider Electric (BMX P34, Modicon M340) e Siemens (S7-1200). L'espansione cross-vendor è significativa: un attore in grado di operare sui tre ambienti vendor, usando il software di ingegneria proprietario di ciascuno, non colpisce un singolo marchio ma la categoria nel suo complesso.

I settori confermati come colpiti sono Government Services and Facilities — inclusi municipi locali — Water and Wastewater Systems, ed Energy. La fonte CISA cita "several" e "multiple" vittime senza quantificare il numero esatto. Alcune hanno subito disruzioni operative e perdite finanziarie, ma il dossier non specifica entità delle perdite né identità delle organizzazioni.

Un dato di contesto: secondo ricerche Censys riportate da Rescana ad aprile 2026, oltre 5.200 controller Rockwell Automation erano esposti su Internet, di cui più di 3.900 negli Stati Uniti. L'esposizione diretta di dispositivi OT rimane il fattore abilitante principale.

Persistenza, indicatori e tecniche MITRE ATT&CK

La persistenza è documentata tramite Dropbear SSH installato su modem cellulari delle vittime, come confermano l'avviso CISA e i dati STIX storici del 7 aprile 2026. Le porte di rete rilevanti identificate nel dossier sono 44818 (EtherNet/IP), 2222, 102 (Siemens S7) e 502 (Modbus TCP). Gli indicatori IP pubblicati nei file STIX JSON e XML ufficiali — più di venti, con timestamp che partono dal 6 marzo 2026 — forniscono un riferimento per le attività di threat hunting.

I dati STIX ufficiali confermano tecniche MITRE ATT&CK: T0883 (Internet Accessible Device), T0885 (Commonly Used Port), T1041 (Exfiltration Over C2), T1219 (Remote Access Software), T1565 (Data Manipulation).

Contesto su CVE-2021-22681 e limiti delle fonti

Fonti editoriali — TechTimes e CybersecurityDive — collegano la campagna Rockwell a CVE-2021-22681, un bypass di autenticazione in Studio 5000 Logix Designer con punteggio CVSS 9.8. TechTimes riporta che Rockwell Automation ha confermato che la vulnerabilità non è patchabile via software. Tuttavia, l'avviso CISA ufficiale AA26-097A non menziona CVE-2021-22681 nell'aggiornamento del 22 luglio 2026. Il collegamento resta documentato solo da fonti editoriali, non dalla fonte primaria governativa. CISA afferma esplicitamente che l'attività osservata "has not been tied to a new product vulnerability".

Cosa cambia

Secondo l'analisi di DeafNews, la campagna segna un punto di svolta nella minaccia OT per tre motivi documentati. Primo: l'uso di software legittimo dei vendor rende difficile distinguere l'attività malevola da quella autorizzata. Secondo: la manipolazione dei dati HMI/SCADA introduce un disallineamento tra percezione digitale e stato fisico che compromette il ruolo dell'operatore. Terzo: l'espansione da un vendor a tre vendor in quattro mesi indica capacità di adattamento rapido.

Le azioni prioritarie derivano direttamente dalle raccomandazioni delle agenzie federali autrici dell'avviso: rimuovere l'esposizione su Internet dei PLC interessati; analizzare file di progetto e AOI per rilevare modifiche non autorizzate; monitorare il traffico sulle porte OT indicate; confrontare i dati HMI con letture fisiche indipendenti dove possibile.

Chiusura editoriale

La campagna documentata da CISA e partner federali conferma che attori affiliati all'Iran stanno conducendo attività mirata a causare effetti disruttivi nell'infrastruttura critica statunitense. La manipolazione dei dati HMI/SCADA non è un rischio teorico: è documentata nell'avviso ufficiale come tecnica impiegata in attacchi con conseguenze operative confermate. L'aggiornamento del 22 luglio 2026 espande lo scope ma non cambia la natura della minaccia: PLC esposti su Internet, accessibili con software legittimo, alterati per nascondere condizioni fisiche anomale agli operatori.

Limiti delle fonti: Questo articolo si basa sull'avviso CISA AA26-097A, sul comunicato stampa ufficiale del 22 luglio 2026, sui dati STIX XML/JSON pubblicati da CISA, e su fonti editoriali di settore. Il collegamento tra CVE-2021-22681 e la campagna 2026 proviene esclusivamente da fonti editoriali (TechTimes, CybersecurityDive), non dall'avviso CISA ufficiale. CISA non quantifica il numero esatto di vittime né fornisce identità delle organizzazioni colpite. Le informazioni sulle perdite finanziarie sono qualitative ("disruzioni operative e perdite finanziarie") senza cifre specifiche. Le raccomandazioni operative dettagliate non sono elencate nel brief come azioni prioritarie delle agenzie; l'articolo le riporta come derivate dall'analisi delle tecniche documentate.

Fonti: CISA Advisory AA26-097A; CISA Newsroom, 22 luglio 2026; CyberSecurityNews; CybersecurityDive; TechTimes; Rescana; SecurityWeek; CISA STIX XML/JSON luglio 2026.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti