AS Peringatkan Serangan Berbasis AI terhadap Siemens PLC di Infrastruktur Kritis

Sejumlah lembaga keamanan siber Amerika Serikat memperingatkan adanya serangan aktif yang memanfaatkan artificial intelligence (AI) untuk membuat script eksploitasi terhadap programmable logic controller (PLC) Siemens yang digunakan dalam infrastruktur kritis.

Peringatan tersebut dikeluarkan secara bersama oleh National Security Agency (NSA), Cybersecurity and Infrastructure Security Agency (CISA), Federal Bureau of Investigation (FBI), Department of Energy, dan Environmental Protection Agency.

Target utama yang disebut dalam advisory adalah Siemens S7 Series PLC, perangkat industri yang digunakan untuk mengotomatisasi dan mengendalikan mesin maupun proses fisik di pabrik serta berbagai fasilitas infrastruktur penting.

Lembaga-lembaga tersebut menegaskan bahwa aktivitas serangan masih berlangsung dan tidak hanya terbatas pada PLC buatan Siemens. Seluruh pemilik dan operator PLC diminta menerapkan mitigasi yang sesuai untuk mengurangi risiko terhadap perangkat dan sistem mereka.

Siemens S7 PLC Menjadi Target

PLC pada dasarnya merupakan komputer industri yang mengendalikan berbagai proses fisik secara otomatis. Perangkat ini dapat ditemukan pada fasilitas manufaktur, pembangkit dan distribusi energi, sistem pengolahan air, fasilitas kimia, hingga berbagai lingkungan industri lainnya.

Sektor yang disebut paling banyak menjadi target mencakup Critical Manufacturing, Energy, Water and Wastewater Systems, Chemical, Food and Agriculture, serta Commercial Facilities.

Siemens S7 PLC juga digunakan dalam Defense Industrial Base, sehingga sektor pertahanan turut berpotensi menjadi target.

Perangkat yang diketahui menjadi sasaran aktivitas tersebut mencakup seri:

• Siemens S7-200
• Siemens S7-300
• Siemens S7-400
• Siemens S7-1200
• Siemens S7-1500

Hacker Memindai PLC yang Terhubung ke Internet

Salah satu teknik yang digunakan attacker adalah melakukan internet scanning untuk menemukan PLC Siemens yang dapat diakses dari internet.

Dalam proses tersebut, threat actor memanfaatkan layanan seperti Censys dan ZoomEye untuk menemukan perangkat yang terekspos.

Setelah menemukan target, attacker dapat mencoba mengeksploitasi vulnerability dengan tingkat keparahan tinggi maupun kritis, memanfaatkan software yang sudah kedaluwarsa, atau mengambil keuntungan dari authentication yang lemah.

Kondisi tersebut menjadi sangat berisiko karena PLC umumnya dirancang untuk beroperasi dalam lingkungan Operational Technology (OT), bukan untuk terhubung secara langsung dan terbuka ke internet.

AI Digunakan untuk Membuat Script Eksploitasi

Hal yang menjadi perhatian utama dalam advisory terbaru adalah penggunaan AI untuk membantu mengembangkan tool eksploitasi.

Threat actor dilaporkan menggunakan artificial intelligence untuk membuat Python exploitation scripts yang dapat berkomunikasi dengan Siemens S7 PLC.

Script tersebut menggunakan library seperti snap7.dll dan python-snap7 untuk berinteraksi dengan perangkat PLC.

Tool yang dibuat secara khusus tersebut kemudian dapat disamarkan sebagai software legitimate yang digunakan untuk monitoring sistem OT.

Jika berhasil terhubung ke PLC, tool tersebut dapat memberikan kemampuan untuk membaca maupun menulis data pada memory PLC, mengakses configuration data, serta berinteraksi dengan ladder logic program melalui protokol S7comm.

Kemampuan write access menjadi perhatian serius karena perubahan pada logic atau parameter PLC dapat berdampak langsung terhadap proses fisik yang dikendalikan perangkat.

Serangan Diduga Masih dalam Tahap Reconnaissance

Lembaga pemerintah AS menyebut aktivitas yang diamati tampaknya berfokus pada persistent reconnaissance.

Artinya, attacker kemungkinan sedang membangun pemahaman mengenai perangkat dan jaringan target sebelum melakukan tindakan yang lebih agresif.

Tahap reconnaissance semacam ini dapat digunakan untuk mengidentifikasi perangkat yang paling bernilai, memahami konfigurasi sistem, dan mencari jalur yang dapat digunakan untuk mengganggu operasi di kemudian hari.

Jika attacker berhasil mempertahankan akses dan memperoleh kontrol yang cukup terhadap PLC, dampaknya dapat jauh lebih serius dibandingkan pencurian data biasa.

Potensi konsekuensinya mencakup pencurian informasi sensitif, kerusakan equipment, downtime dalam waktu lama, hingga insiden keselamatan apabila manipulasi PLC memengaruhi proses fisik yang berbahaya.

Risiko Serangan terhadap Infrastruktur Kritis Meningkat

Peringatan mengenai Siemens PLC tersebut muncul setelah meningkatnya serangan terhadap PLC yang terekspos ke internet di lingkungan infrastruktur kritis Amerika Serikat.

Pada Juli lalu, lebih dari 30 utilitas air di Minnesota menjadi target serangan terkoordinasi terhadap sistem OT. Beberapa fasilitas mengalami malfunction pada equipment dan terpaksa beralih sementara ke operasi manual.

Setelah insiden tersebut, CISA juga memperingatkan adanya peningkatan serangan terhadap PLC yang terhubung ke internet dan digunakan oleh perusahaan pengelola sistem air serta wastewater.

Sebelumnya pada April, lembaga pemerintah AS juga memperingatkan mengenai serangan yang menargetkan PLC Rockwell Automation dan Allen-Bradley yang terekspos ke internet. Serangan tersebut dikaitkan dengan hacker yang memiliki hubungan dengan Iran dan menyebabkan gangguan operasional serta kerugian finansial.

Rangkaian insiden tersebut menunjukkan bahwa PLC yang dapat diakses langsung dari internet menjadi target yang semakin menarik bagi threat actor.

Organisasi Diminta Segera Mengamankan PLC

Lembaga keamanan AS merekomendasikan organisasi melakukan inventarisasi terhadap seluruh Siemens S7 PLC yang digunakan dalam lingkungan mereka.

Security teams juga diminta memastikan perangkat menjalankan security update terbaru serta menghilangkan akses internet langsung jika koneksi tersebut tidak diperlukan.

Selain itu, access controls perlu diperkuat untuk memastikan hanya pengguna dan sistem yang berwenang yang dapat berkomunikasi dengan PLC.

Organisasi juga disarankan memantau aktivitas jaringan untuk menemukan pola komunikasi atau perubahan konfigurasi yang tidak biasa.

Yang tidak kalah penting, PLC sebaiknya ditempatkan di lingkungan OT yang tersegmentasi dan tidak dapat diakses secara langsung dari internet. Pembatasan akses tersebut dapat mengurangi peluang attacker menemukan perangkat melalui internet scanning dan mengeksploitasinya dari jarak jauh.

Penggunaan AI dalam aktivitas ini menunjukkan bahwa artificial intelligence tidak hanya dapat membantu defender mendeteksi ancaman, tetapi juga dapat dimanfaatkan attacker untuk mempercepat pembuatan tool eksploitasi terhadap sistem industri.

Dengan serangan terhadap PLC yang semakin meningkat, organisasi yang mengoperasikan infrastruktur kritis perlu memperlakukan keamanan OT sebagai bagian penting dari strategi cybersecurity secara keseluruhan.

Sumber: [CISA]