A Forescout identificou 22 controladores lógicos programáveis, ou PLCs, da Rockwell Automation expostos à internet em cidades atingidas por recentes ciberataques contra concessionárias de água nos Estados Unidos.
Dezenove deles usavam a mesma rede de operadora móvel.
Em uma varredura feita em 03/08, a empresa encontrou 4.407 controladores Rockwell expostos no mundo todo, sendo 2.844 nos Estados Unidos.
A Forescout, porém, não conseguiu confirmar que algum deles tenha sido comprometido.
O número se refere a controladores expostos, não a concessionárias de água nem a vítimas confirmadas.
Segundo a Forescout, os efeitos descritos publicamente poderiam ter sido obtidos sem explorar uma vulnerabilidade.
Em vez disso, os atacantes teriam alterado endereços IP e definido senhas em controladores que já estavam acessíveis, fazendo com que operadores perdessem visibilidade e, em alguns casos, o controle sobre os equipamentos conectados.
Nem os alertas do governo nem a análise da Forescout explicam como os atacantes localizaram, selecionaram ou acessaram inicialmente os alvos.
Concessionárias de água e esgoto em pelo menos sete estados relataram incidentes desde 27/07, informaram o FBI e a EPA em um comunicado público de 30/07.
A publicação da Forescout dizia que o comunicado confirmava pelo menos 12 estados, enquanto a página do FBI mencionava sete.
Nenhuma agência atribuiu a campanha.
Independentemente do número final, os defensores podem agir agora retirando os controladores da internet pública.
A exposição do EtherNet/IP na porta 44818 cria uma via sem autenticação que, dependendo da configuração do dispositivo, permite que um atacante identifique um controlador ou grave ajustes nele, afirmou a Forescout.
A empresa constatou que mais de 70% dos controladores expostos nos Estados Unidos estavam em grandes redes de operadoras móveis.
O FBI e a EPA recomendam autenticação forte, atualizações e registro de eventos para modems celulares, com o acesso remoto isolado por meio de um APN privado, VPN ou arquitetura semelhante.
Uma imagem da Censys de 30/07 encontrou 4.148 hosts Rockwell/Allen-Bradley EtherNet/IP expostos, com Verizon Business, AT&T Mobility e T-Mobile USA respondendo por 59% desse total.
As imagens da Censys e da Forescout ultrapassam 4.100 hosts, mas as diferentes plataformas, consultas e datas impedem uma comparação direta.
A série histórica da Forescout atingiu um mínimo de 4.169 em junho de 2026, uma queda de 47% em relação aos 7.814 registrados em março de 2020; em 03/08, o total era de 4.407.
Os dispositivos MicroLogix 1400 representaram 50% dos resultados da Forescout, e os MicroLogix 1100, 8%.
O FBI e a EPA citaram ambas as famílias.
A Forescout informou que 19 dos 22 controladores em cidades afetadas executavam firmware suscetível à
CVE-2017-16740
, uma falha com nota CVSS 8,6 segundo a Rockwell.
A falha é um estouro de buffer no Modbus TCP que afeta o MicroLogix 1400 Série B e C com firmware 21.002 e versões anteriores.
A Rockwell corrigiu o problema na revisão 21.003.
A exploração exige que o Modbus TCP esteja ativado, o que a Forescout não conseguiu verificar nesses hosts.
Atualizações de firmware corrigem falhas específicas, mas “não tornam aceitável a exposição pública direta de PLCs”, escreveram os pesquisadores.
A Rockwell descontinuou o MicroLogix 1100 em 30/04/2022.
O aviso SD1790 orienta operadores que foram bloqueados por uma senha definida por um atacante sobre como redefinir um MicroLogix 1400 ou 1100 para as configurações de fábrica e baixar novamente um arquivo de projeto confiável.
O aviso não traz CVE, porque se trata de orientação de recuperação, e não de uma divulgação de vulnerabilidade.
Esse caminho de recuperação exige uma cópia offline atualizada da lógica do controlador.
O FBI afirmou que pelo menos uma vítima encontrou arquivos de projeto de PLC alterados ao identificar discrepâncias na lógica ladder em vários locais.
A agência também alertou que configurações semelhantes de rede de terceiros podem permitir que atacantes repitam comprometimentos bem-sucedidos em diferentes clientes que compartilhem configurações vulneráveis.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...