APT iranien cible les PLCs Rockwell, Schneider et Siemens : alerte CISA sur l'OT industriel

Les faits

Le 22 juillet 2026, la CISA a publié une mise à jour significative de son advisory AA26-097A — "Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure". Cette mise à jour co-signée par le FBI et l'IC3 documente de nouvelles techniques de persistance découvertes dans des incidents récents, notamment la manipulation de modules de code réutilisables au sein des programmes PLC. Cette technique est particulièrement insidieuse car difficile à détecter lors d'audits superficiels du code automate.

Les acteurs derrière cette campagne sont formellement affiliés au gouvernement iranien. L'advisory mentionne explicitement le contexte géopolitique : les opérations s'intensifient en corrélation directe avec les hostilités entre l'Iran, les États-Unis et Israël. Les secteurs ciblés dans les incidents documentés incluent la distribution d'eau et l'assainissement, la production d'énergie, l'industrie manufacturière et les systèmes de contrôle industriel (ICS/SCADA). Les perturbations opérationnelles documentées ont entraîné des interventions manuelles d'urgence et des pertes financières directement mesurables pour les opérateurs victimes.

Le modus operandi est remarquablement simple — et c'est précisément ce qui le rend préoccupant. Les attaquants n'exploitent pas de CVE zero-day sophistiquée. Ils utilisent des adresses IP hébergées dans des pays tiers (infrastructure de location pour masquer leur origine) pour se connecter directement à des PLCs accessibles sur Internet via leurs interfaces de programmation natives. Une fois connectés, ils utilisent les logiciels officiels des constructeurs : RSLogix/Studio 5000 pour Rockwell Automation, EcoStruxure Control Expert pour Schneider Electric, TIA Portal pour Siemens. La faille fondamentale n'est pas un bug logiciel — c'est l'exposition directe d'automates industriels sur Internet sans authentification robuste.

La mise à jour du 22 juillet 2026 documente une évolution notable dans les tactiques : la modification de modules de code réutilisables plutôt que des routines principales du programme PLC. Dans la terminologie Rockwell, ce sont les Add-On Instructions (AOI). Chez Siemens, les Function Blocks (FB). Chez Schneider, les Derived Function Blocks (DFB). Ces modules sont réutilisés à travers l'ensemble d'un programme automate et proviennent souvent de bibliothèques constructeur. En ciblant ces composants, un attaquant injecte du code malveillant qui s'exécutera dans de multiples contextes sans modification apparente des routines principales — compliquant considérablement la détection lors des audits de code PLC qui se concentrent sur les points d'entrée évidents.

Les impacts observés dans les installations victimes sont concrets et physiquement dangereux. Manipulation des affichages HMI (Human Machine Interface) pour présenter des lectures incorrectes aux opérateurs : un niveau de réservoir affiché normal alors qu'une anomalie réelle existe est un risque physique direct. Modification de paramètres de consigne sur des équipements physiques : pompes, vannes, systèmes de dosage chimique. Arrêts non planifiés de systèmes de production dans les incidents les plus graves. Ces perturbations dépassent largement le cadre d'une fuite de données — elles affectent des processus physiques réels avec des conséquences opérationnelles potentiellement dangereuses.

L'exposition de PLCs industriels sur Internet n'est pas un phénomène marginal. Des recherches via des outils de découverte de systèmes exposés montrent régulièrement des milliers d'automates industriels directement accessibles, parfois avec leurs interfaces de programmation ouvertes sans authentification. En France, l'ANSSI documente cette problématique dans plusieurs de ses guides sur la sécurité des systèmes industriels. La différence entre une installation correctement segmentée et un PLC exposé est souvent une simple configuration réseau ou une règle de firewall mal paramétrée — mais les délais de sécurisation peuvent s'étirer sur des mois dans des environnements industriels où les fenêtres de maintenance sont rares et les arrêts coûteux.

Le contexte réglementaire européen renforce l'urgence. La directive NIS2, transposée dans le droit des États membres, impose des exigences de cybersécurité renforcées aux opérateurs d'importance vitale (OIV) et aux opérateurs de services essentiels (OSE), incluant explicitement la segmentation réseau et la gestion des accès aux interfaces d'administration des systèmes de contrôle industriel. Un incident de type AA26-097A en France constituerait non seulement un risque opérationnel majeur, mais potentiellement une violation des obligations NIS2.

L'advisory AA26-097A inclut une liste d'indicateurs de compromission (IOCs) mis à jour : adresses IP d'infrastructure de location utilisées par les acteurs iraniens, patterns de connexion anormaux sur les ports de programmation PLC (TCP 44818 pour Rockwell, TCP 102 pour Siemens S7, TCP 502 pour Modbus/Schneider), et signatures de code pour les modules PLC malveillants identifiés. Ces IOCs ont été transmis aux partenaires industriels internationaux via les mécanismes de partage de threat intelligence. La corrélation de ces indicateurs avec vos logs firewall OT constitue un premier vecteur de détection d'une éventuelle compromission.

Au-delà du cas américain, la campagne illustre une tendance plus large : les systèmes OT/ICS deviennent des cibles de plus en plus systématiques pour les acteurs étatiques. Le faible niveau de protection de nombreuses installations industrielles — résultat d'années de priorité à la disponibilité opérationnelle sur la sécurité — crée des opportunités que des adversaires comme l'Iran, la Russie et la Chine exploitent activement en 2026.

Impact et exposition

Toute installation industrielle utilisant des PLCs Rockwell CompactLogix/Micro850, Schneider Electric Modicon M340/BMX P34 ou Siemens S7-1200 avec une connectivité Internet directe ou indirecte est potentiellement dans le périmètre de cette campagne. Les vecteurs secondaires incluent les accès VPN de maintenance tiers mal configurés, les interfaces de supervision accessibles depuis des réseaux non segmentés, et les équipements de télémaintenance des constructeurs ou des intégrateurs. Les secteurs eau, énergie, chimie et industrie manufacturière sont les plus exposés.

Recommandations

• Isolation réseau immédiate — Supprimer tout accès Internet direct aux PLCs et aux interfaces HMI. Tout accès distant légitime doit transiter par un VPN avec authentification multifacteur et journalisation complète des sessions.
• Audit des modules PLC — Inspecter l'intégralité des Add-On Instructions, Function Blocks et DFB dans vos programmes automates, en comparant avec une baseline archivée lors de la dernière configuration validée. Prioriser les équipements des modèles listés dans AA26-097A.
• Inventaire des expositions — Effectuer une recherche sur Shodan ou Censys avec vos plages IP publiques pour identifier tout équipement OT exposé involontairement. Un résultat positif nécessite une action immédiate.
• Authentification et comptes par défaut — Implémenter une authentification forte sur toutes les interfaces d'administration des automates, supprimer ou changer tous les comptes et mots de passe par défaut.
• Intégration des IOCs CISA — Configurer dans votre SIEM et vos règles firewall les indicateurs de compromission de l'advisory AA26-097A, notamment les patterns de connexion sur les ports de programmation PLC (44818, 102, 502).