ИИ и APT-группы Ирана угрожают критической инфраструктуре США

Иранские APT-группы атакуют критическую инфраструктуру США

Иранские APT-группы проводят целенаправленные атаки на критическую инфраструктуру США с февраля 2026 года. Атаки начались после операции «Epic Fury». Злоумышленники нацеливаются на объекты водоснабжения, энергетики и государственные учреждения. Целью атак является нарушение работы систем, а не скрытый сбор данных. Атаки приводят к финансовым потерям и сбоям в операционной деятельности. Группировка CyberAv3ngers, связанная с Корпусом стражей исламской революции, использует схожие тактики. Атаки включают манипуляции с файлами программируемых логических контроллеров (PLC) и данными на человеко-машинных интерфейсах (HMI) и системах SCADA. Агентство кибербезопасности и защиты инфраструктуры США (CISA) предупреждает о повышенной угрозе со стороны Ирана.

ИИ ускоряет разведку и эксплуатацию уязвимостей

Злоумышленники используют искусственный интеллект (ИИ) для ускорения и повышения эффективности атак. ИИ позволяет им в режиме реального времени сканировать и картографировать сети, объединяющие информационные технологии (IT) и операционные технологии (OT). Это дает возможность быстро находить и использовать уязвимости в устаревших системах. Многие OT-системы не поддерживают стандартные протоколы обнаружения, такие как SNMP, что затрудняет их инвентаризацию. Активное сканирование таких систем может привести к их сбою. Атаки с использованием ИИ также позволяют злоумышленникам получать специализированные знания для взлома сложных промышленных систем управления. Большие языковые модели (LLM) предоставляют детальную информацию о проектировании и работе промышленных систем, помогая планировать их компрометацию. Белый дом выпустил указ 14409, направленный на защиту критической инфраструктуры от атак с использованием ИИ.

Организации критической инфраструктуры и их сотрудники

Угрозы касаются всех организаций, обеспечивающих функционирование критической инфраструктуры. К ним относятся объекты водоснабжения, энергетики, транспортные системы и учреждения здравоохранения. Особую уязвимость представляют собой устаревшие OT-системы, которые сложно инвентаризировать и обновлять. Сотрудники этих организаций должны быть осведомлены о методах социальной инженерии, таких как фишинг. Управление доступом и многофакторная аутентификация являются ключевыми мерами защиты учетных записей.

Уменьшить уязвимости, заменить устаревшие устройства, быстро восстановиться

CISA рекомендует организациям критической инфраструктуры сосредоточиться на трех основных направлениях. Необходимо уменьшить количество уязвимостей в системах, своевременно устанавливая обновления и исправляя ошибки конфигурации. Важно заменить устаревшие устройства, которые больше не поддерживаются производителями. Следует разработать и регулярно обновлять планы реагирования на инциденты. Необходимо проводить учения для отработки действий в случае кибератаки. Также требуется обеспечить возможность быстрого восстановления после сбоев, включая разработку обходных путей для поддержания основных функций. CISA также публикует оперативные директивы, такие как BOD 26-04 «Приоритизация обновлений безопасности на основе рисков» и BOD 26-02 «Снижение рисков от конечных устройств с окончанием поддержки». Совместное руководство CISA и других агентств по безопасности определяет восемь принципов защиты OT-сред. Эти принципы включают балансировку рисков, ограничение сетевой доступности, централизацию и стандартизацию подключений, использование безопасных протоколов, усиление границ OT-сетей, ограничение последствий компрометации, логирование и мониторинг всех подключений, а также разработку плана изоляции.