Forescout identificó 22 controladores lógicos programables (PLC) de Rockwell Automation expuestos a Internet en ciudades afectadas por recientes ciberataques a servicios de agua en Estados Unidos. De estos, 19 estaban conectados a la misma red de un operador móvil.
El escaneo del 3 de agosto contabilizó 4,407 controladores Rockwell expuestos en todo el mundo, incluyendo 2,844 en Estados Unidos. Sin embargo, Forescout no pudo confirmar que alguno de ellos haya sido comprometido. La cifra refleja controladores expuestos, no necesariamente servicios de agua ni víctimas confirmadas.
Forescout señaló que los efectos descritos públicamente podrían lograrse sin explotar vulnerabilidades: los atacantes cambiaron direcciones IP y establecieron contraseñas en controladores que ya eran accesibles, lo que provocó que los operadores perdieran visibilidad y, en algunos casos, el control de los equipos conectados.
Ni las alertas gubernamentales ni el análisis de Forescout explican cómo los atacantes encontraron, seleccionaron o accedieron inicialmente a sus objetivos.
Las agencias FBI y EPA informaron que, desde el 27 de julio, servicios de agua y aguas residuales en al menos siete estados han reportado incidentes, según un anuncio de servicio público del 30 de julio. No obstante, The Hacker News descubrió el 6 de agosto que la publicación de Forescout indica que el anuncio confirmaba al menos 12 estados, mientras que la página del FBI menciona siete. Ninguna agencia ha atribuido la campaña.
Independientemente del recuento final, los defensores pueden actuar ahora retirando los controladores de la Internet pública. Exponer EtherNet/IP en el puerto 44818 crea una ruta no autenticada que, dependiendo de la configuración del dispositivo, permite a un atacante identificar un controlador o escribir configuraciones en él, según Forescout.
Forescout descubrió que más del 70% de los controladores expuestos en EE. UU. se encontraban en grandes redes de operadores móviles. El FBI y la EPA recomiendan autenticación fuerte, actualizaciones y registro para módems celulares, con acceso remoto aislado mediante APN privado, VPN o arquitectura similar.
Una instantánea de Censys del 30 de julio encontró 4,148 hosts Rockwell/Allen-Bradley EtherNet/IP expuestos, con Verizon Business, AT&T Mobility y T-Mobile USA representando el 59%. Las cifras de Censys y Forescout superan los 4,100 hosts, pero las diferentes plataformas, consultas y fechas no las hacen directamente comparables. La serie histórica de Forescout alcanzó un mínimo de 4,169 en junio de 2026, un 47% menos que los 7,814 de marzo de 2020; su instantánea del 3 de agosto fue de 4,407.
Los dispositivos MicroLogix 1400 representaron el 50% de los resultados de Forescout y los MicroLogix 1100 el 8%. El FBI y la EPA mencionaron ambas familias. Forescout indicó que 19 de los 22 controladores en ciudades afectadas ejecutaban firmware susceptible a CVE-2017-16740 (puntuación CVSS de Rockwell: 8.6).
La falla es un desbordamiento de búfer Modbus TCP que afecta a MicroLogix 1400 Series B y C con firmware 21.002 y anteriores; Rockwell lo corrigió en la revisión 21.003. La explotación requiere que Modbus TCP esté habilitado, algo que Forescout no pudo verificar en esos hosts. Las actualizaciones de firmware abordan errores específicos, pero 'no hacen aceptable la exposición pública directa de los PLC', escribieron los investigadores.
Rockwell discontinuó el MicroLogix 1100 el 30 de abril de 2022. El aviso SD1790 indica a los operadores bloqueados por una contraseña establecida por atacantes cómo restablecer un MicroLogix 1400 o 1100 a los valores de fábrica y descargar un archivo de proyecto conocido. El aviso no tiene CVE porque es orientación de recuperación, no una divulgación de vulnerabilidad.
Esa ruta de recuperación requiere una copia offline actual del programa del controlador. El FBI dijo que al menos una víctima encontró archivos de proyecto modificados después de detectar discrepancias en la lógica del PLC en varios sitios. También advirtió que configuraciones de red similares de terceros podrían permitir a los atacantes repetir compromisos exitosos entre clientes que comparten configuraciones vulnerables.
Deja una respuesta