Llueve sobre mojado...

La NSA vuelve a decir lo que llevamos mas de 10 años diciendo en Titanium...

Esta mañana al leer el advisory conjunto de NSA, CISA, FBI, Departamento de Energía y EPA sobre la amenaza activa contra PLCs Siemens S7 lo hemos pensado: Llueve sobre mojado. Cinco agencias. Cinco. Firmando un documento cuyo mensaje central, resumido sin piedad, es: amigo, no pongas el PLC (ni cualquier otra cosa que no sea necesaria) en Internet.

Vamos con los hechos, que son maravillosamente aburridos. Los atacantes están buscando PLCs Siemens expuestos —S7-200, 300, 400, 1200 y 1500, incluidos los F de seguridad funcional, que es donde uno empieza a ponerse serio— usando servicios de escaneo público como Censys o ZoomEye. Es decir: no hay un 0-day fabuloso, no hay un implante de nación-estado con nombre de constelación. Hay un buscador, un puerto 102 abierto al mundo y, en demasiados casos, autenticación por defecto o directamente inexistente.

Después entran, leen bloques de datos, entienden el proceso y se quedan ahí. El advisory lo dice con una honestidad que se agradece: esto no parece un ataque, parece preparación de un ataque. Reconocimiento persistente, prueba de capacidades y pre-posicionamiento para el día que a alguien le interese escribir en lugar de leer.

Traducido a román paladino: alguien está tomando notas de tus sistemas de planta con calma y sin prisa.

La parte que ha ocupado los titulares es la de la IA. Los actores están usando asistentes de IA para generar scripts de explotación apoyados en snap7/python-snap7, una librería abierta de toda la vida, y disfrazarlos de herramientas legítimas de monitorización OT. La NSA lo describe como una evolución de las capacidades del adversario porque reduce drásticamente el conocimiento técnico y el tiempo necesarios para tener algo que funcione.

Y es verdad. Pero conviene ponerlo en su sitio, porque hay mucho vendedor de humo afilando el PowerPoint estos días.

La IA no ha abierto el puerto 102. La IA no ha dejado la contraseña en blanco. La IA no ha decidido que el histórico se conectase directamente contra la red de proceso porque "es que si no, no va". La IA solo ha bajado el peaje de entrada al club de los que saben hablar S7comm. Ese club, hasta hace poco, exigía leerse manuales de Siemens (bastante áridos) y pelearse con capturas de tráfico un fin de semana entero. Ahora exige una noche, un buen prompt y si te pones tonto un gintonic.

Lo que la IA ha hecho es eliminar el último argumento de la seguridad por oscuridad. Ese en el que tanto se apoyó el mundo industrial durante dos décadas: "sí, está expuesto, pero ¿quién va a saber programar un S7-300?". Pues mira, ahora cualquiera. La oscuridad se ha acabado. El resto del problema es exactamente el mismo problema de siempre.

Entre todas las recomendaciones —inventario, parcheo, segmentación, control de accesos, monitorización con herramientas ICS-aware, hardening específico de S7— hay un párrafo que a mí me parece el más importante del documento y que ha pasado sin pena ni gloria.

Dice, más o menos, que estas medidas son especialmente relevantes para quienes trabajan con integradores o proveedores de servicio con acceso remoto a los PLCs, porque el propietario del activo puede no ser consciente de que sus sistemas están expuestos y en riesgo.

Porque la conversación real que tenemos en las plantas no es "no queremos protegernos". Casi nunca lo es. La conversación real es un responsable de mantenimiento diciéndote con toda la buena fe del mundo que su red está aislada, y tú encontrando cuarenta minutos después un router 4G que puso el integrador en 2019 para no tener que venir desde Zaragoza cada vez que fallaba una receta. Nadie mintió. Simplemente nadie lo sabía.

Y de ahí se deduce lo único que de verdad importa de todo este advisory: no puedes proteger lo que no sabes que tienes, y no sabes que lo tienes porque nunca lo has inventariado. No es casualidad que la primera de las siete acciones de mitigación sea, literalmente, hacer inventario. Ni que la primera de las "top mitigations" del resumen ejecutivo sea la misma. Antes que parchear. Antes que segmentar. INVENTARIAR.

Llevamos años diciéndolo. Ahora lo firman cinco agencias federales. A ver si así....

Entonces, ¿qué hago el lunes?

Sin misticismos, y en este orden:

>Sal a buscar tus S7. Todos. Los del proyecto y los que no están en ningún plano. Firmware contra copia de referencia, y mapea qué estaciones tienen TIA Portal o STEP 7.

>Mira quién entra desde fuera. Cada acceso remoto de cada integrador, cada VPN abierta "temporalmente" en 2021, cada router de operadora bajo un armario. Este es el punto donde aparecen las sorpresas de verdad.

>Cierra el 102 en el perímetro. No hay ningún motivo legítimo para que S7comm hable con Internet. Ninguno.

>Pon contraseña a los autómatas y configura los niveles de protección. Sí, ya sé que da pereza. Hazlo igual.

>Empieza a mirar el tráfico. Aunque sea con poco. Una sesión S7comm un domingo a las tres de la mañana desde una IP que no es de nadie conocido no debería ser un descubrimiento arqueológico seis meses después.

>Manda el advisory a tus integradores y pídeles por escrito qué han implementado. El propio documento te lo recomienda; úsalo como palanca.

Nada de esto es nuevo. Nada de esto es sexy.

Pero es que ese es exactamente el problema: llevamos mucho tiempo avisando (evangelizando?) de cosas aburridas, y el adversario acaba de conseguir una herramienta que le permite explotarlas más rápido que nunca.

Llueve sobre mojado, sí. Pero el agua sigue entrando por el mismo agujero del tejado que señalamos la primera vez. Y ahora, además, hay más gente sabiendo dónde está el agujero.

Si queréis leer el advisory original:

Defending Against an Active Threat to Siemens S7 Series PLCs

PDF Advisory