ABD’de kritik altyapı kuruluşlarını hedef alan yeni bir saldırı dalgasında, yapay zekâ yardımıyla üretilmiş istismar betikleri kullanılarak Siemens S7 serisi programlanabilir mantık denetleyicileri, yani PLC’ler taranıyor. Federal kurumların ortak uyarısına göre saldırganlar, internetten erişilebilen ve zayıf korunan PLC’leri bulup keşif yapmak, erişim kabiliyeti geliştirmek ve bazı durumlarda doğrudan istismar denemeleri yürütmek için bu betikleri kullanıyor.
Uyarı, Ulusal Güvenlik Ajansı, Siber Güvenlik ve Altyapı Güvenliği Ajansı, FBI, Enerji Bakanlığı ve Çevre Koruma Ajansı tarafından yayımlandı. Kurumlar, faaliyetin yalnızca Siemens cihazlarıyla sınırlı görünmediğini, ancak şu ana kadar öne çıkan hedeflerin S7 ailesi olduğunu belirtti.
Saldırıların, kritik üretim tesisleri, enerji şirketleri, su ve atık su sistemleri, kimyasal tesisler, gıda ve tarım işletmeleri ile ticari yapılara yöneldiği aktarıldı. Kurumlar, saldırıları bilinen bir tehdit grubuna ya da aktöre atfetmedi.
Arama motorları üzerinden açık PLC avı
Ortak duyuruya göre saldırganlar, internet tarama hizmetleri Censys ve ZoomEye üzerinden internete açık PLC’leri tespit ediyor. Eski yazılım kullanan ya da yeterince korunmayan cihazlar ilk hedef oluyor. Ardından, AI ile oluşturulmuş ve meşru izleme araçlarını andıracak şekilde kamufle edilen betikler devreye giriyor.
Bu betiklerin Python tabanlı özel sürümleri de kullanılıyor. İçlerinde açık kaynak endüstriyel otomasyon kütüphaneleri olan snap7.dll ve python-snap7 gibi bileşenler yer alıyor. Böylece saldırı, S7comm protokolü üzerinden PLC belleğine, yapılandırma verilerine ve ladder logic programlarına okuma-yazma erişimi veren sıradan bir yönetim aracı izlenimi yaratıyor.
Kurumlardan yapılan açıklamada, yapay zekâ desteğiyle istismar betiği üretmenin ve bunları hızlıca yeniden denemenin, endüstriyel kontrol sistemlerine yönelik saldırılarda teknik eşiği düşürdüğü vurgulandı. Bu yöntemin, hem saldırı için gereken uzmanlığı hem de geliştirme süresini azalttığı kaydedildi.
Aynı araçlar savunma ekipleri tarafından da meşru amaçlarla kullanılabiliyor. snap7 ekosistemi ve benzeri yazılımlar, otomatizasyon mühendislerinin kendi PLC’lerinde okuma, yazma ve konfigürasyon denetimi yapmasına imkân veriyor. Ancak federal uyarıda, saldırganların bu yasal işlevleri taklit ederek kötüye kullanım geliştirdiği anlatılıyor.
Hedefte hangi Siemens modelleri var
Uyarıda adı geçen PLC serileri arasında S7-200 ailesinin tüm CPU varyantları, S7-300 ailesinin 314, 315 ve 317 dahil tüm CPU varyantları, S7-400 ailesinin tüm CPU varyantları, S7-1200 ailesinin 1211C, 1212C, 1214C, 1215C ve 1217C varyantları ile S7-1500 ailesinin F-serisi güvenlik denetleyicileri dahil tüm CPU varyantları bulunuyor.
Kurumlar, bu cihazlar internete açık bırakıldığında ya da yeterince ayrıştırılmadığında saldırganların yüksek ve kritik düzeyde bilinen zafiyetleri kullanabileceğini belirtti. Metinde belirli bir CVE numarası paylaşılmadı, ancak riskin asıl kaynağı olarak güncel olmayan yazılım, zayıf erişim denetimi ve yetersiz ağ segmentasyonu gösterildi.
FBI, CISA, NSA, DOE ve EPA, PLC’lerin kötü korunmasının kritik endüstriyel süreçleri durdurabileceğini, güvenlik olaylarına yol açabileceğini, kesinti yaratabileceğini ya da ekipmana zarar verebileceğini bildirdi. Aynı zamanda hassas verilerin ele geçirilmesi ve uyum ihlalleri de olası sonuçlar arasında sıralandı. Kurumlar, birbirine bağlı sistemlerde zincirleme etkilerin de görülebileceği uyarısında bulundu.
Resmî tavsiyede OT sistem sahiplerine ve işletmecilerine, Siemens S7 serisi ve diğer PLC cihazlarının en güncel sürümleri çalıştırdığını doğrulamaları, mümkün olan her yerde internetten izole etmeleri, güçlü erişim kontrolleri uygulamaları ve ICS ortamlarını olağandışı ya da kötü amaçlı etkinlik işaretlerine karşı izleyen güvenlik araçlarını devreye almaları çağrısı yapıldı.
Duyuruya göre tehdit aktörlerinin kullandığı araç seti, kamuya açık teknik bilgilerden yararlanarak keşif, kimlik bilgisi erişimi, hizmet dışı bırakma ve başka amaçlar için AI destekli istismar betikleri üretmeye dayanıyor. Kurumlar, bu PLC’ler internete açık ya da yetersiz bölümlendirilmiş durumdaysa, bilinen zafiyet zincirlerinin saldırganlar için düşük maliyetli bir giriş kapısı oluşturduğunu kaydetti.
Bu arada yapay zekâ destekli saldırıların ölçeği yalnızca endüstriyel kontrol sistemleriyle sınırlı değil. Geçen hafta yayımlanan başka bir inceleme, Asya’daki resmî kurumları hedef alan ve neredeyse otonom şekilde yürütülen bir saldırı kampanyasını ortaya koydu. İncelemede hangi devletin hedef alındığı açıkça yazılmadı, ancak Financial Times ve Reuters, hedefin Tayvan olduğunu aktardı.
Tayvan Dijital İşler Bakanlığı, saldırıların yurt dışından geldiğine dair açık işaretler bulunduğunu ve klasik operasyonlarla OpenClaw gibi yapay zekâ ajanlarının birleştirildiği hibrit bir yaklaşım kullanıldığını açıkladı. Bakanlık, faaliyetin 1 Temmuz ile 4 Temmuz 2026 arasında 12 saldırı dalgası halinde gözlendiğini bildirdi.
İncelemeye göre kampanya, Hermes ve OpenClaw ajanları üzerine kurulu yapay zekâ destekli bir çerçeve kullanıyor. Bu çerçeve, sekize kadar harfli alt ajanı paralel çalıştırarak saldırının farklı aşamalarını otomatikleştiriyor. Saldırı zincirinde keşif yapmak, devlet çalışanı kimlik bilgilerini kırmak, veri sızdırmak, kişisel kimlik doğrulama hizmetindeki imza doğrulama hatasını bulmak ve devlet web uygulamalarına kalıcı arka kapılar yerleştirmek öne çıkıyor.
Alt ajanların görev dağılımı da raporda ayrıntılandırıldı: A ajanı SSO istismarı ve kimlik bilgisi saldırılarını yürütüyor, B ajanı JWT atlatma testleri ve CAPTCHA kaba kuvvet denemeleri yapıyor, C ajanı birden fazla devlet portalında keşif gerçekleştiriyor, D ajanı API taraması ve yönetici paneli atlatma denemeleri yürütüyor, E ajanı CVE araştırması ve zafiyet zinciri testleri yapıyor, F ajanı tedarik zinciri hedeflerini değerlendiriyor, I ajanı Tesseract OCR kullanarak CAPTCHA atlatmalı parola saçma saldırıları gerçekleştiriyor, Q ajanı ise derin API uç noktası istismarı üzerinde çalışıyor.
İlk erişim aşamasında çerçeve, istek gövdesinden bağımsız olarak geçerli bir oturum döndüren gizli API uç noktaları buldu. Ardından çalışanların kullanıcı adları toplandı ve hükümet portallarından birinde parola saçma yöntemleriyle 85 hesabın ele geçirildiği bildirildi.
Toplamda yetkisiz erişim sayesinde 2.564’ten fazla personel kaydı, tüm bölüm sistem kullanıcılarını içeren bir veritabanı, yedi SSO istemci sırrı, MSSQL, Oracle ve Sybase üzerinde yer alan altı iç veritabanı kimlik bilgisi ve iç ağ IP aralıkları sızdırıldı. Araştırmacılar, saldırganın ana hedeflerle yetinmediğini, devlet BT tedarik zinciri satıcılarını, bir nükleer güvenlik kurumunu, bir devlet e-posta sistemini ve enerji sektöründeki 7’den fazla şirketi de eş zamanlı taradığını belirtti.
İnceleme, çerçevenin ayrıca güvenlik zafiyeti veritabanlarını, GitHub depolarını ve araştırmaları tarayan bir öğrenme motoru içerdiğini ortaya koydu. Bu motor, hedef altyapıya uyarlanabilecek teknikleri seçmek için kullanılıyor. Ekip, yaklaşık dört gün içinde 1.395 dosya üretildiğini, 85 kimlik bilgisinin kırıldığını, binlerce personel kaydının sızdırıldığını ve devlet altyapısı içinde kalıcı bir tutunma noktası elde edildiğini açıkladı.
Kurumsal uyarıda yer alan son değerlendirme, kompetan bir saldırı yürütmenin maliyetinin düştüğünü, buna karşılık savunmanın maliyetinin aynı hızda gerilemediğini söylüyor. Endüstriyel PLC ortamlarında görülen yeni dalga ile yapay zekâ ajanlarıyla yürütülen devlet hedefli kampanya, saldırı otomasyonunun ne kadar hızlı olgunlaştığını da gösteriyor.