CISA Uyardı: İranlı Aktörler İnternete Açık PLC'lere Sızıyor
CISA'nın AA26-097A uyarısı: İran bağlantılı aktörler, ABD'deki su, atık su ve enerji altyapısındaki internete açık PLC'leri hedef alıyor. Hedefte Allen-Bradley, Modicon M340 ve S7-1200 var; IOC'ler ve önlemler.
Bir su arıtma tesisi: operatörler HMI’de kilitli, IP’ler yeniden atanmış, “boil water” bildirimi. 2026’da bu senaryo kurgu değil — CISA’nın AA26-097A uyarısına göre İran bağlantılı gelişmiş kalıcı tehdit (APT) grupları, ABD’deki kritik altyapıdaki internet’e açık PLC’leri aktif olarak istismar ediyor.
Neden bu uyarı farklı?
Eskiden bu tür saldırıların çoğu varsayılan kimlik bilgilerini kullanıyordu. AA26-097A’daki kampanya farklı: saldırganlar meşru mühendislik yazılımını kullanarak PLC’ye giriyor, kalıcı erişim için araç (ör. Dropbear SSH) bırakıyor ve bazı vakalarda güvenlik mantığını aşacak yeni kod yükleyerek operasyonel kesintiye yol açıyor.
Hangi cihazlar hedefte?
Kampanya önce Rockwell Automation / Allen-Bradley PLC’lerine yönelmiş; Temmuz 2026 güncellemesiyle kapsam Schneider Electric Modicon M340 ve Siemens S7-1200 denetleyicilerine de genişledi. Etkilenen sektörler su, atık su, enerji ve kamu hizmetleri.
Ne yapılmalı?
Uyarıdaki temel öneriler net:
- PLC’leri ve OT cihazlarını doğrudan internet maruziyetinden çıkarın — ağ segmentasyonu, güvenlik duvarı ve güvenli gateway ile.
- IOC sorgusu yapın — şüpheli trafik için özellikle port 44818 (Rockwell), 2222, 102 (S7), 502 (Modbus).
- PLC proje dosyalarındaki yetkisiz değişiklikleri izleyin ve düzenli, test edilmiş mantık/konfigürasyon yedeği alın.
- Rockwell PLC’lerde beklenmedik kod yüklemesini önlemek için donanımı run moduna alın.
- Saldırı şüphesinde CISA veya yerel FBI ile derhal irtibata geçin ve PLC üreticisini dahil edin.
IOC’ler XML/JSON formatında yayımlandı; ağ savunmacıları bunları doğrudan koruma araçlarına besleyebilir.