CISA AA26-097A : CyberAv3ngers cible PLC Rockwell ICS

Les faits

Le 7 avril 2026, six agences fédérales américaines — FBI, CISA, NSA, EPA, DOE et la Cyber National Mission Force de l'USCYBERCOM — ont publié l'avis conjoint AA26-097A, consacré à une campagne visant les systèmes de contrôle industriels. Depuis mars 2026 au moins, un groupe APT iranien rattaché à l'IRGC-CEC (Islamic Revolutionary Guard Corps Cyber Electronic Command), opérant sous l'identifiant CyberAv3ngers et également suivi sous les noms Shahid Kaveh Group et Hydro Kitten, compromet des équipements industriels exposés sur Internet. Les attaques CyberAv3ngers Rockwell PLC ciblent en priorité les automates programmables Rockwell Automation déployés dans les secteurs de l'eau et des eaux usées, de l'énergie et de l'agroalimentaire. Les opérateurs exploitent des identifiants par défaut, des interfaces d'administration accessibles publiquement et des correctifs non appliqués pour altérer les processus physiques et dégrader la disponibilité des installations.

Les modes opératoires identifiés sont d'une simplicité brutale : les attaquants utilisent plusieurs adresses IP basées à l'étranger, se connectent aux PLC via le logiciel Rockwell légitime, manipulent les fichiers projet et altèrent ce que les opérateurs voient sur leurs écrans HMI. Plusieurs victimes ont subi des perturbations opérationnelles et des pertes financières directes. Les secteurs concernés couvrent l'eau et assainissement (WWS), l'énergie, et les services gouvernementaux.

Impact et exposition

Le constat technique est sans surprise pour qui audite régulièrement de l'OT : les PLC Rockwell exposés sur Internet sont nombreux, souvent sans authentification forte, et les comptes par défaut restent en place. CyberAv3ngers ne cherche même pas la sophistication : il se connecte avec les outils du fournisseur, comme un intégrateur le ferait. L'enjeu pour les opérateurs européens et français est immédiat. Les industriels concernés par NIS2 — opérateurs d'eau, distributeurs d'énergie, transporteurs, agroalimentaire — utilisent les mêmes plateformes. La cartographie d'exposition Internet de votre parc OT n'est plus optionnelle.

Recommandations

• Vérifier qu'aucun PLC Rockwell Automation, Allen-Bradley, MicroLogix ou ControlLogix n'est joignable depuis Internet : passage en revue des règles NAT, des VPN site-à-site et des accès distants tiers (intégrateurs, mainteneurs)
• Changer immédiatement les mots de passe par défaut sur tous les PLC, modules de communication et IHM ; activer l'authentification FactoryTalk Security là où elle existe
• Segmenter strictement le réseau OT du réseau IT : aucun chemin direct PLC ↔ Internet, passage obligatoire par une zone démilitarisée industrielle (Purdue Level 3.5)
• Surveiller les connexions entrantes vers les ports CIP/EtherNet IP (TCP/UDP 44818, TCP 2222) depuis des adresses IP non listées dans la cartographie autorisée des intégrateurs
• Mettre en place une copie hors-ligne et signée des fichiers projet PLC ; auditer hebdomadairement les modifications via comparaison de signatures cryptographiques

Précédents et contexte historique

CyberAv3ngers n'en est pas à son coup d'essai. Le groupe, rattaché à l'IRGC-CEC, avait déjà défrayé la chronique fin 2023 en compromettant des dizaines d'automates Unitronics Vision exposés sur Internet, dont celui de la Municipal Water Authority of Aliquippa (Pennsylvanie), avec un message de défiguration explicitement anti-israélien affiché sur l'écran de contrôle. La CISA avait alors publié l'avis AA23-335A pour alerter sur cette vague. L'avis AA26-097A de 2026 marque une bascule stratégique : le groupe délaisse les cibles isolées et mal protégées pour s'attaquer directement à l'écosystème Rockwell Automation / Allen-Bradley, l'un des fournisseurs OT les plus déployés au monde dans l'eau, l'énergie et l'industrie manufacturière. Cette montée en gamme suggère une reconnaissance préalable plus poussée, probablement via des scans Shodan/Censys ciblés sur les ports et bannières spécifiques aux PLC Rockwell (EtherNet/IP, port 44818).

Sur le plan sectoriel, les campagnes IRGC-CEC contre les infrastructures d'eau ne sont pas isolées : elles s'inscrivent dans une logique de représailles géopolitiques revendiquée par plusieurs sous-groupes iraniens depuis le conflit à Gaza, avec une préférence marquée pour les cibles symboliques occidentales et israéliennes plutôt qu'un gain financier direct — même si des pertes financières sont ici documentées comme dommage collatéral. Des chercheurs en sécurité OT (notamment Dragos et Claroty, régulièrement cités sur ce type d'avis) soulignent que la simplicité du mode opératoire — connexion légitime via le logiciel constructeur, sans exploitation de vulnérabilité logicielle — est précisément ce qui le rend difficile à détecter par les outils de sécurité périmétrique classiques : aucun exploit, aucune signature antivirus à déclencher, juste un accès distant mal cloisonné.

Pour les opérateurs européens, l'alerte fait écho aux obligations de la directive NIS2, qui classe explicitement l'eau potable et l'assainissement comme secteurs hautement critiques. Contrairement aux États-Unis où la CISA agit en soutien volontaire, la réglementation européenne impose désormais aux opérateurs concernés une obligation de notification d'incident sous 24h et une cartographie documentée de leur surface d'exposition — un cadre qui, appliqué à la lettre, aurait rendu ce type de compromission détectable bien plus tôt.