Researchers Use Claude to Port Pre-Auth RCE Exploit From One PLC Model to Another
Mis à jour :
Automatisation de l’exploitation de PLC via l’IA : Le cas WAGO
Des chercheurs de Vedere Labs (Forescout) ont démontré l’utilisation de l’intelligence artificielle (Claude d’Anthropic) pour porter avec succès un exploit d’exécution de code à distance (RCE) pré-authentification d’un automate programmable industriel (PLC) WAGO vers un autre modèle.
Points clés :
- Assistance IA : L’IA a été utilisée de manière interactive avec des outils comme Ghidra pour adapter un exploit existant, surmonter des obstacles techniques de mémoire et développer des charges utiles (payloads) fonctionnelles en quelques minutes.
- Risques opérationnels : Le processus a souligné le risque de “brick” (mise hors service permanente) du matériel, l’IA ayant involontairement corrompu la mémoire flash lors d’une tentative d’extension.
- Évolution des menaces : L’utilisation de l’IA réduit significativement la barrière à l’entrée pour la création d’exploits complexes contre les systèmes industriels (OT), une tendance confirmée par les récentes alertes des autorités américaines (CISA, FBI, etc.).
Vulnérabilité exploitée :
- CVE-2021-31886 : Dépassement de tampon basé sur la pile dans le serveur FTP Nucleus. Score CVSS : 9.8. Elle permet une exécution de code à distance avant authentification via le port TCP 21.
Recommandations :
- Désactivation des services inutiles : Désactiver ou bloquer l’accès au protocole FTP sur le port 21 des automates.
- Segmentation réseau : Isoler les PLC au sein de segments réseau protégés pour limiter l’exposition.
- Surveillance : Mettre en œuvre une surveillance étroite du trafic réseau à la recherche d’anomalies ou de comportements suspects ciblant les ports d’administration.
- Gestion des correctifs : Bien que de nombreux automates WAGO basés sur Nucleus V1 ne disposent pas de mises à jour, il est crucial d’appliquer les correctifs si le fabricant fournit des versions ultérieures (Nucleus ReadyStart V3+).