Rapport CTI technique du 1 août 2026
Résumé exécutif
Dans la nuit du 26 au 27 juillet 2026, un groupe affilié à l'Iran a désactivé les automates de plus de trente réseaux d'eau du Minnesota en réutilisant une faille d'authentification vieille de cinq ans sur les automates Rockwell Logix. La CVE-2021-22681 touche la clé cryptographique que Studio 5000 Logix Designer utilise pour authentifier ses sessions avec les PLC CompactLogix et Micro850 : cette clé est codée en dur dans le logiciel d'ingénierie et récupérable par quiconque le décompile. Rockwell l'a confirmé sans détour, aucun correctif n'est prévu. À Braham, une petite ville d'environ 2 000 habitants, les attaquants ont désactivé les commandes informatisées de la station de traitement, forçant un arrêt d'environ deux heures avant que les équipes municipales ne reprennent la main manuellement.
L'incident du Minnesota s'inscrit dans une campagne documentée depuis avril 2026 par la CISA, le FBI, la NSA, l'EPA, le DOE, l'US Cyber Command et le Trésor américain sous la référence AA26-097A, mise à jour le 22 juillet, quatre jours avant les attaques, pour étendre le périmètre observé aux automates Schneider Electric et Siemens. Le FBI enquête désormais sur des intrusions similaires dans sept États et évoque un objectif qui dépasse la simple perturbation de service : la possibilité d'altérer les paramètres de traitement de l'eau potable. Cette fiche détaille le mécanisme d'authentification exploité, la chaîne opératoire observée et les mesures de mise en conformité pour tout exploitant d'infrastructures utilisant du Rockwell, du Schneider ou du Siemens exposé à internet.
Chronologie
| Date | Événement |
|---|---|
| 2021 | Divulgation initiale de CVE-2021-22681 (clé d'authentification Studio 5000 récupérable), Rockwell confirme l'absence de correctif possible sur l'architecture existante |
| 7 avril 2026 | Publication conjointe de l'advisory CISA AA26-097A sur l'exploitation d'automates Rockwell/Allen-Bradley exposés à internet par des acteurs affiliés à l'Iran |
| 22 juillet 2026 | Mise à jour majeure de AA26-097A : extension du périmètre à Schneider Electric et Siemens, ajout de consignes de détection sur les modules de code réutilisables dans les programmes PLC |
| 26-27 juillet 2026 | Attaque coordonnée contre plus de 30 réseaux d'eau communautaires du Minnesota ; arrêt de la station de Braham pendant environ deux heures |
| 29-30 juillet 2026 | La CISA qualifie l'activité d'escalade significative et presse les exploitants de retirer les automates exposés d'internet |
| 31 juillet 2026 | Le FBI confirme enquêter sur des intrusions similaires dans sept États, avec une hypothèse de manipulation des paramètres de potabilisation |
Fiche vulnérabilité (format fiche CTI)
CVE-2021-22681 | CVSS 9.8 | Rockwell Automation Studio 5000 Logix Designer / automates CompactLogix, Micro850 et familles Logix associées
Le mécanisme d'authentification entre Studio 5000 Logix Designer et les automates de la gamme Logix repose sur une clé cryptographique embarquée dans le binaire du logiciel d'ingénierie plutôt que dérivée d'un secret propre à chaque déploiement. Un attaquant qui extrait cette clé du logiciel, disponible publiquement, peut forger des sessions d'authentification légitimes vers n'importe quel automate de la gamme sans connaître d'identifiant spécifique au client. Aucune interaction utilisateur n'est requise côté victime : il suffit que le PLC accepte des connexions entrantes, ce qui est le cas de tout automate exposé directement sur internet sans segmentation réseau ni VPN.
Conditions d'exploitation : accès réseau au port de programmation de l'automate (généralement le port EtherNet/IP, 44818/TCP, ou le port propriétaire CIP), aucune authentification préalable côté attaquant au sens classique puisque la clé partagée est publique. PoC disponible : oui, la faille est documentée depuis 2021 et des outils d'extraction de la clé circulent depuis. Patch/mitigation : Rockwell a confirmé qu'aucun correctif logiciel ne peut supprimer la faille sans un changement d'architecture du protocole d'authentification. La mitigation recommandée reste la même depuis 2021 : retirer tout accès direct à internet des automates, imposer un VPN avec authentification forte pour toute télémaintenance, et surveiller les connexions CIP entrantes non attendues.
La campagne documentée par AA26-097A a étendu le périmètre observé à des automates Schneider Electric (gamme Modicon M340 / BMX P34) et Siemens (S7-1200), exploités via leurs propres logiciels d'ingénierie légitimes, EcoStruxure Control Expert et TIA Portal. Les sources publiques consultées ne détaillent pas de CVE spécifique équivalente à 2021-22681 pour ces deux familles ; l'advisory les mentionne comme cibles de la même campagne sans préciser si le vecteur initial est une faille logicielle distincte ou une simple exposition réseau combinée à des identifiants faibles ou par défaut.
Diagramme de la chaîne d'attaque
Reconstruction de la chaîne opératoire à partir de l'advisory CISA AA26-097A et des analyses SafeBreach, Tenable et IOActive. Légende : accès initial par automate exposé, authentification forgée via la clé Studio 5000, puis persistance et sabotage.
Analyse technique
Étape 1 : reconnaissance et identification des automates exposés
Les acteurs affiliés à l'Iran scannent en continu les plages IP publiques à la recherche d'automates Rockwell, Schneider et Siemens répondant sur leurs ports de programmation natifs. Aucun exploit sophistiqué n'est nécessaire à ce stade : un simple scan Shodan ou Censys suffit à cartographier les cibles, la seule condition étant l'absence de pare-feu ou de liste blanche IP en amont du PLC.
Étape 2 : authentification forgée via la clé Studio 5000
Une fois un automate Rockwell identifié, l'attaquant utilise le logiciel d'ingénierie légitime, Studio 5000 Logix Designer, avec la clé cryptographique extraite du binaire pour établir une session de programmation authentifiée. Du point de vue de l'automate, cette session est indiscernable d'une opération de maintenance légitime réalisée par un ingénieur autorisé. Pour Schneider et Siemens, le schéma observé est similaire dans son esprit : usage des suites d'ingénierie officielles pour se connecter à des automates exposés, sans que les sources publiques ne confirment un contournement d'authentification identique à celui de Rockwell.
Étape 3 : accès distant persistant via Dropbear SSH
Sur plusieurs victimes confirmées, les acteurs ont déployé ou activé un accès Dropbear SSH sur l'automate ou l'infrastructure adjacente pour conserver un canal de commande indépendant du logiciel d'ingénierie. Dropbear, un client SSH léger couramment utilisé sur des systèmes embarqués, permet un accès distant discret qui survit à une reconnexion normale de l'opérateur.
Étape 4 : exfiltration des fichiers projet et cartographie du process
Les attaquants récupèrent les fichiers projet PLC, qui contiennent l'intégralité de la logique de contrôle, les seuils d'alarme et souvent des commentaires d'ingénierie décrivant le fonctionnement du procédé. Cette exfiltration sert à la fois de reconnaissance pour préparer le sabotage et de matériel de réutilisation pour d'autres cibles utilisant une configuration similaire.
Étape 5 : manipulation de la logique ladder et falsification des données opérateur
Dans l'incident confirmé le mieux documenté, les acteurs ont modifié la logique ladder du PLC pour désactiver les fonctions d'arrêt de sécurité et de déclenchement d'alarme, tout en injectant des valeurs falsifiées vers les écrans HMI/SCADA pour masquer l'état réel du procédé aux opérateurs. Cette double action, désactiver l'alerte et mentir sur l'état du système, est ce qui transforme une intrusion en risque de sécurité physique plutôt qu'en simple déni de service.
Indicateurs de compromission
| Type | Valeur |
|---|---|
| Vecteur d'accès | Automates Rockwell CompactLogix / Micro850, Schneider Modicon M340 / BMX P34, Siemens S7-1200 exposés directement à internet |
| Protocole abusé | EtherNet/IP (CIP), port 44818/TCP et ports de programmation propriétaires |
| Accès distant secondaire | Sessions Dropbear SSH non attendues sur des hôtes adjacents aux automates |
| Origine réseau | Multiples adresses IP étrangères non résidentielles selon l'advisory CISA, liste complète non publiée dans les sources consultées |
| Comportement révélateur | Sessions de programmation Studio 5000 / EcoStruxure / TIA Portal en dehors des fenêtres de maintenance planifiées |
| Impact confirmé | Désactivation de la logique d'arrêt de sécurité et des alarmes, falsification des affichages HMI/SCADA |
Les sources publiques exploitées pour cette fiche ne contiennent pas de liste exhaustive d'IOC réseau (hashes, domaines C2) au moment de la rédaction. L'advisory complet AA26-097A, disponible en PDF sur le site de la CISA, en contient probablement davantage ; il n'a pas pu être intégralement consulté pour cette publication.
MITRE ATT&CK
Cartographie ATT&CK for ICS construite à partir des TTP décrites dans les sources publiques (CISA, SafeBreach, Tenable, IOActive). Il ne s'agit pas d'une table officiellement publiée par la CISA dans le corps accessible de l'advisory, mais d'une lecture technique cohérente avec les comportements documentés.
| Tactique | Technique | ID | Justification |
|---|---|---|---|
| Reconnaissance | Recherche d'informations sur les actifs exposés | T0846 | Scan systématique des automates accessibles depuis internet avant intrusion |
| Initial Access | Exploitation d'application exposée publiquement | T0819 | Connexion directe à des PLC accessibles sans segmentation réseau |
| Persistence | Services distants non standards | T0859 | Déploiement de sessions Dropbear SSH pour un accès indépendant du logiciel d'ingénierie |
| Collection | Détection de l'inventaire du procédé | T0888 | Exfiltration des fichiers projet PLC contenant la logique de contrôle |
| Inhibit Response Function | Modification de l'alarme | T0838 | Désactivation de la logique d'arrêt de sécurité et des déclenchements d'alarme |
| Impair Process Control | Falsification du reporting | T0856 | Injection de données falsifiées vers les affichages HMI/SCADA |
Remédiation : checklist opérationnelle
- Retirer immédiatement tout automate Rockwell, Schneider ou Siemens directement accessible depuis internet, quelle que soit la justification opérationnelle invoquée.
- Segmenter le réseau OT du réseau IT et imposer un VPN avec authentification multifacteur pour toute session de programmation distante.
- Auditer les journaux de connexion CIP et EtherNet/IP à la recherche de sessions Studio 5000, EcoStruxure ou TIA Portal en dehors des fenêtres de maintenance déclarées.
- Rechercher la présence de services Dropbear SSH non documentés sur les automates et les systèmes adjacents.
- Comparer la logique ladder actuellement déployée avec la dernière version de référence validée, en particulier les modules d'arrêt de sécurité et de déclenchement d'alarme.
- Mettre en place une surveillance indépendante du procédé physique, capteurs redondants ou contrôles manuels, qui ne dépend pas des mêmes affichages HMI potentiellement falsifiés.
- Exporter et archiver hors ligne une copie saine des fichiers projet PLC pour permettre une restauration rapide en cas de sabotage confirmé.
- S'inscrire aux alertes WaterISAC et suivre les mises à jour de l'advisory AA26-097A, dont le périmètre a déjà été élargi deux fois en 2026.
Sources
- CISA - Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure (AA26-097A)
- SafeBreach - CISA AA26-097A: Iranian PLC Attacks
- Tenable - Minnesota Water Cyber Attack and CISA Advisory AA26-097A
- SecurityWeek - CISA Urges Water Sector to Protect OT After Coordinated Attacks on PLCs
- IOActive - Iranian-Affiliated Actors Expand PLC Targeting to Siemens and Schneider Electric
- TechTimes - Iranian Hackers Exploited Unpatchable PLC Flaw to Breach 30 Minnesota Water Systems
- TechTimes - FBI: Water Hacks in Seven States Aimed at Contaminating Drinking Supplies
- BleepingComputer - CISA warns of cyberattacks disrupting U.S. water utilities
- Help Net Security - Coordinated cyberattack hits more than 30 Minnesota water utilities
