Forescout Research – Vedere Labs zei dat het Claude van Anthropic gebruikte om een werkende pre-authentication remote code executie (RCE) exploit over te zetten van de ene WAGO programmeerbare logische controller (PLC) naar de andere, waarbij de door de aanvaller aangeleverde ARM-shellcode werd uitgevoerd op live hardware.
De exploitdoelen CVE-2021-31886een stack-gebaseerde bufferoverflow bij de verwerking van de USER-opdracht door de Nucleus FTP-server, die een door Siemens toegewezen CVSS-score van 9,8 heeft en toegankelijk is vóór authenticatie via TCP-poort 21.
CERT@VDE zegt dat er geen updates beschikbaar zijn voor de getroffen WAGO-controllers en adviseert eigenaren om FTP op poort 21 uit te schakelen of te blokkeren, segmentatiecontroles af te dwingen en het netwerkverkeer te controleren op afwijkingen.
De poort vereiste aanhoudende sturing door onderzoekers, en de laatste RCE-ontwikkelingsfase kostte $ 535,74 aan API-gebruik (Application Programming Interface) gedurende een sessie van 8 uur en 32 minuten.
Een latere sessie waarin werd geprobeerd de exploit uit te breiden naar een command-and-control (C2)-implantaat, schreef naar een flash-mapped geheugengebied, waardoor de PLC permanent werd dichtgemetseld.
“Je zou kunnen stellen dat dezelfde onderzoeker de initiële RCE-poort zonder AI in minder tijd en tegen lagere kosten had kunnen realiseren, terwijl hij tegelijkertijd de PLC in leven had kunnen houden”, aldus Forescout.
Vedere Labs had eerder een werkende RCE-exploit voor de WAGO 750-852 ontwikkeld en die exploit overgezet naar een WAGO 750-831 met firmware V01.04.16.
De onderzoekers leverden de bestaande 750-852-exploit, een binaire firmware voor de 750-831 en een fysieke 750-831 als live doelwit. Elke fase verliep als interactieve sessies tussen een onderzoeker en Claude Code, die toegang had tot een terminal, de reverse-engineeringtool Ghidra en de doel-PLC.
Het werk begon aan Claude Sonnet 4.6 en verhuisde naar Claude Opus 4.6 nadat de eerste RCE-pogingen tot stilstand waren gekomen. Bij normale FTP-verwerking op de 750-831 werden 256 bytes in de door de aanvaller bestuurde buffer op nul gezet, zodat de geïnjecteerde shellcode werd overschreven voordat deze kon worden uitgevoerd.
Claude heeft de USER- en QUIT-reeks die tegen de 750-852 werd gebruikt, aangepast tot een USER- en CWD-reeks. Het weglaten van de CRLF-terminator “verhinderde vervolgens dat het relevante verwerkingspad op de gebruikelijke manier werd voltooid”, zei Forescout. De buffer overleefde lang genoeg om de lading uit te voeren.
Nadat de code-uitvoering was vastgesteld, ging het model in twaalf minuten over van werkende no-operation (NOP) shellcode naar twee functionele payloads, aldus Forescout. Eén stuurde ICMP-echoverzoeken naar een door de aanvaller bestuurd systeem, en de andere stuurde een UDP-pakket met de string PWNED.
De exploit wordt uitgevoerd in de Ethernet-callback-context, en de gedemonstreerde mogelijkheid stopt op het punt waarop netwerkpakketten worden verzonden.
Vedere Labs heeft eerder aangetoond dat RCE op een controller kan worden gekoppeld om diepe laterale bewegingen in operationele technologienetwerken (OT) mogelijk te maken, waarbij gebruik wordt gemaakt van meerdere kwetsbaarheden in Schneider Electric Modicon PLC’s.
Forescout zei dat het model tijdens de eerste sessie ook een mogelijke bug in de FTP-opdrachtextractielus signaleerde, anders dan CVE-2021-31886.
Handmatige beoordeling “suggereerde dat dit een afzonderlijke, voorheen niet-geïdentificeerde kwetsbaarheid zou kunnen zijn”, zei Forescout. Het team heeft het terzijde gelegd voor afzonderlijk onderzoek, en de kwestie heeft geen CVE-identificatie.
Een GitHub-repository zoekt naar CVE-2021-31886gerund door The Hacker News op 1 september, leverde geen resultaten op en de fout is afwezig in Exploit-DB en Packet Storm. Die zoekfunctie indexeert de namen en beschrijvingen van de repository in plaats van de bestandsinhoud.
“Het meer directe risico is niet dat een agent zelfstandig besluit een controller aan te vallen, maar een geautoriseerde agent die de verkeerde actie onderneemt op een fysiek systeem waarbij een storing reële operationele gevolgen heeft”, aldus Forescout.
Het CERT@VDE-advies voor WAGO vermeldt de volgende apparaten als kwetsbaar voor alle fouten in dat advies, inclusief CVE-2021-31886 –
- 750-829 (FW16 en eerder)
- 750-831/000-00x (FW14 en eerder)
- 750-852 (FW16 en eerder)
- 750-880/0xx-xxx (FW16 en eerder)
- 750-881 (FW16 en eerder)
- 750-882 (FW16 en eerder)
- 750-885/0xx-xxx (FW16 en eerder)
- 750-889 (FW16 en eerder)
- 750-331 (FW16 en eerder)
- 750-352/xxx-xxx (FW16 en eerder)
“De hierboven genoemde veldbuskoppelingen en PLC’s zijn gebaseerd op Nucleus V1 RTOS. Op dit moment zijn er geen updates voor deze versie beschikbaar”, aldus het adviesbureau.
Twee van deze modellen, de 750-882 en de 750-885/0xx-xxx, ontbreken in zowel de mitigatiesectie als de hersteltabel van het advies, waardoor de status van hun oplossing niet wordt vermeld.
Siemens, dat Nucleus onderhoudt, stelt in zijn Nucleus-advies dat er geen herstel gepland is voor Nucleus NET voor alle versies, en dat Nucleus ReadyStart V3-releases vanaf V2013.08.1 CVE-2021-31886 al repareren.
De fout was een van de 13 die in november 2021 werd onthuld als NUCLEUS:13 door Forescout en Medigate. In zijn eerdere onderzoek naar het aan elkaar koppelen van PLC-exploits concludeerde Forescout dat de besproken kwesties “waarschijnlijk niet bovenaan uw prioriteitenlijst zouden moeten staan”, en zei dat de vooruitgang op het gebied van AI ervoor zou moeten zorgen dat organisaties die risicoanalyse heroverwegen.
Het onderzoek volgt op een gezamenlijk advies dat op 19 augustus werd uitgegeven door de NSA, CISA, FBI, Department of Energy en Environmental Protection Agency, waarin werd gewaarschuwd voor een actieve dreiging voor aan internet blootgestelde Siemens S7-serie PLC’s door AI-gegenereerde exploitatiescripts.
De agentschappen zijn van oordeel dat de activiteit waarschijnlijk bedoeld is voor aanhoudende verkenning en capaciteitsontwikkeling en zijn er niet in geslaagd deze toe te schrijven.
Afzonderlijk maakten de FBI en de EPA sinds 27 juli melding van aanvallen op waterbedrijven in ten minste zeven staten, waarvan sommige de bedrijfsvoering verslechterden. Deze actoren veranderden IP-adressen en wachtwoorden op internetgerichte Rockwell Automation MicroLogix-controllers, bij aanvallen waarvoor geen misbruik nodig was.
“Het gebruik van AI om exploitatiescripts te genereren vertegenwoordigt een evolutie in de mogelijkheden van bedreigingsactoren, waardoor de technische expertise en tijd die nodig is om werkende ICS-exploitatiescripts en kwaadaardige tools te ontwikkelen dramatisch wordt verminderd”, aldus de auteursbureaus in het gezamenlijke advies.
