Des pirates iraniens ciblent les systèmes énergétiques et hydriques américains
Les exploitants des secteurs de l’eau et de l’énergie aux États-Unis font face à une nouvelle vague de menaces cyber iraniennes, après que des agences fédérales ont confirmé que des pirates liés à l’État avaient déjà compromis des systèmes de contrôle et modifié leurs programmes pour contourner les mécanismes de sécurité. L’avis conjoint du CISA, du FBI, de la NSA et du Département de l’Énergie révèle que des acteurs affiliés à l’Iran ont accédé à des automates programmables (PLC) pilotant pompes, vannes et alarmes dans les infrastructures critiques. Une fois infiltrés, ils manipulent les interfaces homme-machine et les écrans SCADA, réécrivant parfois la logique des contrôleurs pour désactiver les fonctions d’arrêt et d’alerte, maintenant ainsi les systèmes dans un état dangereux sans que les opérateurs ne s’en rendent compte.
Une campagne qui s’étend avec des tactiques connues
Ce n’est pas la première alerte concernant l’activité iranienne dans les réseaux industriels. En avril, les mêmes agences avaient signalé des attaques ciblant des automates Rockwell Automation. L’avis mis à jour inclut désormais les équipements Schneider Electric et Siemens, élargissant la surface d’attaque potentielle. Les pirates accèdent généralement aux appareils exposés via des ports OT (44818, 2222, 102, 502) ou des connexions modem en SSH (port 22), puis exfiltrent les fichiers de projet des PLC à l’aide d’outils fournis par les éditeurs, comme Studio 5000, EcoStruxure Control Expert et TIA Portal. Ils modifient ou suppriment la logique des projets, y compris les instructions complémentaires, avant de pousser des mises à jour malveillantes vers les contrôleurs.
Mesures immédiates pour les défenseurs
Les agences recommandent de retirer les PLC exposés d’Internet en acheminant le trafic via des passerelles et pare-feux sécurisés. Elles conseillent également de surveiller les journaux pour détecter des indicateurs de compromission sur les ports OT et de revoir les bonnes pratiques de sécurité des éditeurs. Les utilisateurs de Rockwell sont invités à configurer leurs automates en mode Exécution, tandis que toute victime potentielle doit contacter immédiatement le fournisseur et les agences fédérales. L’avis souligne que tout système de contrôle industriel accessible depuis Internet pourrait être une cible.
Pourquoi est-ce important ?
Ces intrusions dépassent l’espionnage. En modifiant la logique de contrôle pour outrepasser les paramètres de sécurité, les pirates peuvent transformer des opérations routinières en dangers sans déclencher d’alerte. Le fait que les agences aient élargi leurs recommandations à plusieurs éditeurs montre que cette menace est évolutive, et non un incident isolé. Pour les exploitants d’usines et les fournisseurs d’énergie, le message est clair : si vos PLC sont accessibles depuis Internet, considérez-vous comme une cible – et agissez en conséquence.
Source : Security Affairs. Synthèse éditoriale assistée par IA — TechnoExpress.