Forescout araştırmacıları, Claude Code’u kullanarak bir WAGO PLC modelinde çalışan kimlik doğrulama öncesi uzaktan kod çalıştırma (RCE) açığını başka bir WAGO modeline taşıdı. Çalışma, Nucleus FTP sunucusundaki CVE-2021-31886 açığını hedef aldı ve araştırmacılar, saldırının FTP üzerinden kimlik doğrulaması yapılmadan 21 numaralı TCP portundan tetiklenebildiğini gösterdi.
Araştırmada hedefteki cihaz WAGO 750-831 oldu. Daha önce geliştirilen çalışan bir RCE zinciri WAGO 750-852 modelinden alınarak, firmware sürümü V01.04.16 çalışan 750-831’e uyarlandı. Forescout’un Vedere Labs ekibi, elindeki 750-852 exploit’ini, 750-831’e ait bir firmware ikilisini ve canlı hedef olarak kullanılan fiziksel bir 750-831 cihazını Claude Code ile birlikte analiz etti. Oturumlarda Claude’a terminal, tersine mühendislik aracı Ghidra ve doğrudan PLC erişimi verildi.
Şirketin anlattığına göre çalışma Claude Sonnet 4.6 ile başladı, ilk denemeler takılınca Claude Opus 4.6’ya geçildi. Son aşamadaki RCE geliştirme oturumu 8 saat 32 dakika sürdü ve API kullanım maliyeti 535,74 dolar oldu. Daha sonra komut ve kontrol işlevi eklemeye dönük bir oturum, flash eşlemeli bir bellek bölgesine yazma yapınca PLC kalıcı biçimde kullanılamaz hale geldi.
FTP akışını değiştiren saldırı dizisi
İstismar edilen CVE-2021-31886, Nucleus FTP sunucusunun USER komutunu işlerken oluşan stack tabanlı buffer overflow hatası olarak tanımlanıyor. Siemens’in verdiği CVSS puanı 9,8 ve açık, TCP 21 üzerinden kimlik doğrulama öncesi erişilebilir durumda. CERT@VDE, etkilenen WAGO kontrolörleri için herhangi bir güncelleme yayımlanmadığını bildirdi.
Güvenlik uyarısında cihaz sahiplerine FTP’yi 21 numaralı portta devre dışı bırakmaları veya engellemeleri, ağ bölümlendirmesini sıkılaştırmaları ve trafik içinde anomali takibi yapmaları önerildi. Uyarıda yer alan Nucleus V1 RTOS tabanlı cihazlar için şu an güncelleme bulunmadığı da açıkça belirtildi.
Forescout’un aktardığına göre 750-831 üzerinde normal FTP işleme süreci, saldırganın kontrolündeki arabellekteki 256 baytı sıfırlıyor. Bu nedenle enjekte edilen shellcode daha çalışmadan üzerine yazılıyordu. Claude, 750-852’ye karşı kullanılan USER ve QUIT dizisini 750-831 için USER ve CWD dizisine dönüştürdü. CRLF sonlandırıcısının atlanmasıyla ilgili işlem yolu olağan şekilde tamamlanmadı ve arabellek, payload çalışana kadar hayatta kaldı.
Kod çalıştırma sağlandıktan sonra model, işlevsiz NOP shellcode’dan çalışan iki farklı yükü 12 dakika içinde üretebildi. Bunlardan biri saldırganın kontrolündeki sisteme ICMP echo isteği gönderdi, diğeri içinde PWNED dizisi bulunan bir UDP paketi yolladı. Forescout, gösterilen yeteneğin Ethernet receive callback bağlamında çalıştığını ve demostrasyonun ağ paketi gönderme aşamasında durduğunu söyledi.
Şirket daha önce de bir PLC üzerindeki RCE’nin, Schneider Electric Modicon PLC’lerdeki birden fazla açığı zincirleyerek OT ağlarında derin yatay hareket sağlamak için kullanılabildiğini göstermişti. Bu nedenle, burada elde edilen çalışır durumdaki RCE’nin başka sistemlere zincirlenmesi teorik olarak önem taşıyor olsa da, araştırmanın bu bölümünde gösterilen somut yetenek ağ paketi göndermekle sınırlı kaldı.
İlk Claude oturumunda model, CVE-2021-31886’dan ayrı olabilecek bir FTP komut çıkarma döngüsü hatası için de uyarıda bulundu. Forescout, manuel incelemenin bunun ayrı ve daha önce tanımlanmamış bir zafiyet olabileceğini düşündürdüğünü, ancak konuyu ayrı bir araştırmaya bıraktıklarını belirtti. Bu sorun için henüz bir CVE numarası atanmamış durumda.
Forescout’un paylaştığı bilgilere göre Claude, var olan exploit’i taşırken tamamen kendi başına bırakılmadı; araştırmacıların yönlendirmesi oturum boyunca sürdü. Şirket, insan yönlendirmesinin olmaması halinde modelin hedefteki davranışı doğru biçimde uyarlamasının zor olacağını, buna rağmen ilk RCE taşınmasının daha kısa sürede ve daha düşük maliyetle elle de yapılabileceğini ima etti. Aynı değerlendirmede PLC’nin çalışır kalmasının da mümkün olabileceği vurgulandı.
İlgili zafiyet, Kasım 2021’de Forescout ve Medigate tarafından NUCLEUS:13 başlığı altında duyurulan 13 açığın arasındaydı. O dönem yapılan araştırmalarda bu tür PLC zincirleme istismarlarının öncelik listesinin üst sıralarında olmayabileceği belirtilmişti. Forescout, yapay zekâdaki ilerlemelerin kurumların bu risk hesabını yeniden değerlendirmesine yol açması gerektiğini savunuyor.
CERT@VDE’nin WAGO için yayımladığı uyarı, CVE-2021-31886 dahil o bültendeki tüm açıkların şu cihazları etkilediğini kaydediyor: 750-829 (FW16 ve öncesi), 750-831/000-00x (FW14 ve öncesi), 750-852 (FW16 ve öncesi), 750-880/0xx-xxx (FW16 ve öncesi), 750-881 (FW16 ve öncesi), 750-882 (FW16 ve öncesi), 750-885/0xx-xxx (FW16 ve öncesi), 750-889 (FW16 ve öncesi), 750-331 (FW16 ve öncesi) ve 750-352/xxx-xxx (FW16 ve öncesi).
Uyarıda bu fieldbus coupler ve PLC modellerinin Nucleus V1 RTOS tabanlı olduğu, fakat bu sürüm için şu anda güncelleme bulunmadığı da yer aldı. Listede bulunan 750-882 ile 750-885/0xx-xxx modellerinin ise hem azaltım bölümünde hem de düzeltme tablosunda yer almaması, bu iki cihazın yama durumunu belirsiz bıraktı.
Siemens’in Nucleus için yayımladığı ayrı uyarıya göre, Nucleus NET’in tüm sürümleri için bir düzeltme planlanmıyor. Buna karşılık Nucleus ReadyStart V3 tarafında V2013.08.1 ve sonrası sürümler CVE-2021-31886’yı zaten düzeltiyor. Açığın ayrıntıları için NVD kaydı: https://nvd.nist.gov/vuln/detail/CVE-2021-31886.
Gelişme, 19 Ağustos’ta NSA, CISA, FBI, Enerji Bakanlığı ve Çevre Koruma Ajansı’nın birlikte yayımladığı uyarının ardından geldi. Ortak uyarıda, internete açık Siemens S7 serisi PLC’lere yönelik yapay zekâ tarafından üretilen istismar betiklerinden kaynaklanan aktif bir tehdit olduğu belirtilmiş, faaliyetin kalıcı keşif ve yetenek geliştirme amacı taşıdığı değerlendirilmişti. Kurumlar saldırının arkasındaki aktörlere ilişkin atıfta bulunmadı.
Aynı dönemde FBI ve EPA, 27 Temmuz’dan bu yana en az yedi eyalette su tesislerine yönelik saldırılar olduğunu bildirdi. Bu vakaların bir kısmında operasyonlar yavaşlatıldı; saldırganlar internete açık Rockwell Automation MicroLogix kontrolörlerinde IP adresleri ve parolaları değiştirdi. O saldırılarda bir exploit kullanılmadı.
Ortak uyarıyı hazırlayan kurumlar, yapay zekâ ile istismar betiği üretmenin tehdit aktörlerinin kapasitesini geliştirdiğini, çalışan ICS istismar betiklerini ve kötü amaçlı araçları hazırlamak için gereken teknik bilgiyle zamanı ciddi biçimde azalttığını yazdı.