En bref

  • Des acteurs affiliés à l'IRGC iranien (CyberAv3ngers) compromettent des automates industriels (PLC) Rockwell Automation, Schneider Electric et Siemens dans des infrastructures eau et énergie américaines depuis mars 2026.
  • Systèmes affectés : PLC connectés à Internet dans les secteurs eau/eaux usées, énergie et services gouvernementaux ; HMI/SCADA liés à ces équipements.
  • Action requise : isoler immédiatement tout PLC accessible depuis Internet, appliquer les mesures de l'advisory CISA AA26-097A mis à jour le 22 juillet 2026.

Les faits

Le 22 juillet 2026, la CISA, le FBI, la NSA, le Département de l'Énergie (DOE), l'Agence de Protection de l'Environnement (EPA) et l'US Cyber Command (CNMF) ont mis à jour conjointement l'advisory AA26-097A, initialement publié le 7 avril 2026. Cette mise à jour majeure élargit le périmètre des fabricants d'équipements industriels explicitement ciblés — Rockwell Automation, Schneider Electric et Siemens sont désormais nommés — et ajoute de nouveaux indicateurs de compromission (IOC) ainsi que des recommandations de détection renforcées. Le Département du Trésor a rejoint les agences co-signataires, signalant une dimension de sanctions économiques potentielles contre les entités facilitant ces attaques.

Le groupe à l'origine de ces attaques, CyberAv3ngers, est une unité offensive du Corps des Gardiens de la Révolution Islamique iranien (IRGC-CEC), formellement sanctionnée par le Département du Trésor américain en 2024. Documenté depuis 2023 pour ses attaques contre des stations de traitement d'eau en Israël et aux États-Unis via des PLCs Unitronics Vision, le groupe démontre avec cette campagne une évolution tactique significative : ciblage de fabricants Tier-1 (Rockwell, Schneider, Siemens) massivement déployés dans les infrastructures critiques occidentales, et sophistication accrue des techniques de persistance.

Le vecteur d'accès initial reste l'exposition directe à Internet d'automates industriels non protégés par VPN ni par authentification forte. Une fois un PLC ciblé identifié via des outils de scan passif (Shodan, Censys), les attaquants exploitent soit des identifiants par défaut non modifiés, soit des vulnérabilités connues dans les interfaces web embarquées des automates. Sur les ControlLogix de Rockwell, l'interface EtherNet/IP expose par défaut des services sans authentification robuste sur le port TCP/44818 — une configuration héritée de l'époque où ces équipements n'étaient pas connectés à des réseaux IP.

Une fois l'accès établi, les attaquants déploient Dropbear SSH — un serveur SSH léger adapté aux environnements embarqués — comme canal de commande et contrôle persistant sur les automates compromis. Cette technique permet de maintenir un accès résistant aux redémarrages et aux interventions de maintenance de routine. Dropbear SSH consomme peu de ressources et passe souvent inaperçu dans des équipements dont les équipes IT ne surveillent pas activement les processus en exécution.

Une fois la persistance établie, les attaquants procèdent à l'exfiltration des fichiers de projet des automates. Ces fichiers décrivent en détail la logique de contrôle industrielle complète de l'installation : séquences de traitement, seuils d'alarme, paramètres de sécurité, cartographie des entrées/sorties physiques. Cette intelligence opérationnelle peut être utilisée pour préparer des sabotages futurs ciblés, en identifiant précisément les instructions à modifier pour provoquer des dommages physiques sans déclencher les systèmes d'alarme normaux.

Plusieurs cas documentés dans l'advisory font état de modifications apportées à la logique des interfaces opérateur (HMI/SCADA) pour masquer aux techniciens les vraies valeurs des capteurs — la technique dite de "blind the operators". Elle consiste à afficher des valeurs normales sur les écrans de supervision pendant qu'une action anormale est en cours. Elle est caractéristique d'une préparation à une action de sabotage physique : l'opérateur ne peut pas réagir à ce qu'il ne voit pas.

L'extension à Schneider Electric élargit considérablement la surface d'attaque en Europe. Les automates de la gamme Modicon (M221, M241, M262) et les environnements SCADA EcoStruxure sont déployés dans des milliers d'installations en Europe, notamment dans les réseaux de distribution d'eau potable et les sous-stations électriques. En France, une note de vigilance de l'ANSSI relayée en juillet 2026 indique que des instances EcoStruxure Control Expert accessibles depuis Internet ont été identifiées sur le territoire national, en violation des recommandations de la directive NIS2.

Les Siemens S7 (SIMATIC S7-300, S7-400, S7-1200, S7-1500) et les interfaces HMI de la gamme TP/KTP sont également dans le périmètre de l'advisory. Siemens a publié des avis de sécurité ProductCERT correspondants recommandant la désactivation du serveur web intégré sur les automates non exposés en réseau, et l'application de listes de contrôle d'accès réseau. La vulnérabilité la plus exploitée sur ces équipements reste le protocole S7comm sans authentification, accessible sur le port TCP/102 — un protocole conçu dans les années 1990 sans modèle de sécurité intégré, qui reste ouvert sur des milliers d'automates dans le monde.

Impact et exposition

Tout automate industriel des gammes Rockwell Automation (Allen-Bradley ControlLogix, CompactLogix), Schneider Electric (Modicon M2xx, EcoStruxure) ou Siemens (SIMATIC S7) directement accessible depuis Internet est susceptible d'avoir été compromis ou d'être actuellement ciblé. L'impact potentiel dépasse la perte de données : interruption de la distribution d'eau potable, manipulation de dosages de produits chimiques de traitement (chlore, ozone, fluorure), coupures d'alimentation électrique locales, dommages physiques aux équipements industriels. Pour les infrastructures européennes, la directive NIS2 impose une déclaration d'incident dans les 24 heures suivant la détection d'une compromission significative.

Recommandations

  • Inventorier immédiatement tous les PLC/API accessibles depuis Internet — utiliser Shodan en mode organisation pour identifier les équipements exposés involontairement.
  • Isoler les automates d'Internet : tout accès à distance doit transiter par un VPN avec MFA — jamais d'exposition directe des ports industriels (102/S7, 502/Modbus, 44818/EtherNet-IP, 4840/OPC-UA).
  • Auditer les fichiers de projet : comparer les versions actuelles aux sauvegardes vérifiées pour détecter des modifications non autorisées de la logique de contrôle.
  • Déployer une solution de détection OT (Claroty, Nozomi Networks, Dragos Platform) sur les segments réseau industriels pour détecter les comportements anormaux.
  • Appliquer les IOC de l'advisory AA26-097A (adresses IP, hash de binaires Dropbear modifiés, patterns réseau) dans tous les systèmes de sécurité disponibles.

Alerte critique

CyberAv3ngers a démontré sa capacité à modifier silencieusement la logique des automates tout en masquant les changements aux opérateurs. Une infrastructure compromise de cette façon est une bombe à retardement — la compromission peut remonter à mars 2026. Si vos automates ont été accessibles depuis Internet, un audit OT d'urgence est indispensable avant de reprendre confiance dans vos données de supervision.

Comment détecter une session Dropbear SSH persistante sur un automate Rockwell, Siemens ou Schneider ?

Sur les Rockwell ControlLogix, vérifiez les connexions TCP actives via Studio 5000 ou RSLinx — toute connexion persistante vers des adresses IP externes non répertoriées est suspecte. Sur les SIMATIC S7, l'interface web intégrée ou TIA Portal permet de lister les connexions actives ; cherchez des sessions TCP vers des ports non standards (2222, 8022, 9022). Pour Schneider EcoStruxure, les logs de connexion remote sont accessibles via EcoStruxure Machine Advisor. En l'absence d'outils OT natifs, un span de trafic réseau analysé avec Wireshark sur le segment industriel révélera les sessions SSH inhabituelles — le trafic Dropbear présente des patterns de négociation distincts du SSH standard.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit