Ransomware

Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure

Fonte ufficiale

Sintesi operativa EudorIA

Cosa significa

Priorità 95/100

CISA Cybersecurity Advisories ha pubblicato un advisory sul ransomware Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure. La fonte descrive vulnerabilita o tecniche gia osservate in attacchi e richiede una verifica prioritaria.

Perché conta

L'advisory descrive attivita ransomware osservate e misure difensive pubblicate da un'autorita. Non prova che il proprio perimetro sia compromesso, ma richiede una verifica prioritaria di esposizione e controlli.

Azioni consigliate

Verificare e correggere con priorita i sistemi Internet-facing indicati dalla fonte; applicare MFA resistente al phishing, segmentazione e backup offline immutabili con prove di ripristino.
Verificare sistemi esposti, accessi remoti e versioni rispetto all'advisory ufficiale.
Confermare che backup offline e immutabili siano separati e ripristinabili.
Correlare TTP e IOC pubblicati con la telemetria autorizzata del proprio perimetro.

Benefici operativi potenziali

Prioritizzazione delle esposizioni Internet e delle vulnerabilita sfruttate
Verifica dei controlli su accessi remoti, movimento laterale ed esfiltrazione
Validazione documentata della capacita di ripristino

Indicazioni da confermare sul perimetro tecnico e organizzativo del cliente.

Controlli pertinentiVulnerability managementIdentity and access managementNetwork segmentationBackup and recoveryDetection and response

DestinatariITSOCCISOManagement

Centro informazioni

Traduzione in elaborazione

CISA

Il contenuto ufficiale è disponibile nella lingua originale. La versione italiana verrà pubblicata al termine dei controlli automatici.

Testo acquisito dalla fonte

Cybersecurity Advisory Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure Last Revised July 22, 2026 Alert Code AA26-097A Related topics: Cybersecurity Best Practices , Critical Infrastructure Security and Resilience , Cyber Threats and Response Advisory at a Glance Title Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure Original Publication April 7, 2026 Last Update July 22, 2026 Executive Summary The authoring agencies urgently warn U.S. organizations of ongoing Iranian-affiliated cyber targeting of internet-connected operational technology (OT) devices, including programmable logic controllers (PLCs). These actions disrupted PLCs across several U.S. critical infrastructure sectors through malicious project file interactions and manipulation of data on human machine interface (HMI) and supervisory control and data acquisition (SCADA) displays, resulting in operational disruption and financial loss. Last Update Description This update adds new guidance on detecting malicious changes in reusable code modules exploited within Rockwell Automation PLC programs. It also expands scope to include observed targeting of Schneider Electric, Siemens, and potentially other branded/manufactured PLCs, emphasizing the importance of restricting direct internet access and providing best practices for secure deployment. Affected Products Potentially all internet exposed PLCs, including Rockwell Automation/Allen-Bradley, Schneider Electric, Siemens, and other branded/manufactured PLCs. Key Actions Install PLCs consistent with manufacturers' guidelines and security best practices. Remove PLCs from direct internet exposure via secure gateway and firewall; work with IT/OT team member

Indicatori CISA verificabili

21 valori IOC dalla fonte ufficiale. Non sono una lista di blocco automatica: verificare data, contesto e applicabilita.

Copertura parziale: sono mostrati solo gli indicatori verificati e interpretabili. 1 allegati richiedono ancora verifica o un formato supportato.

Ultima verifica: 2026-09-26T06:31:11.692495+00:00

Scarica STIX 2.1

Tipo	Indicatore (non cliccabile)	File
ipv4-addr	`88[.]80[.]150[.]202`
ipv4-addr	`88[.]80[.]150[.]200`
ipv4-addr	`88[.]80[.]150[.]199`
ipv4-addr	`141[.]11[.]164[.]153`
ipv4-addr	`185[.]225[.]17[.]225`
ipv4-addr	`84[.]200[.]205[.]165`
ipv4-addr	`192[.]142[.]54[.]79`
ipv4-addr	`185[.]82[.]73[.]175`
ipv4-addr	`175[.]110[.]121[.]107`
ipv4-addr	`175[.]110[.]121[.]41`
ipv4-addr	`175[.]110[.]121[.]42`
ipv4-addr	`175[.]110[.]121[.]39`
ipv4-addr	`185[.]82[.]73[.]168`
ipv4-addr	`135[.]136[.]1[.]133`
ipv4-addr	`185[.]82[.]73[.]162`
ipv4-addr	`185[.]82[.]73[.]170`
ipv4-addr	`185[.]82[.]73[.]167`
ipv4-addr	`185[.]82[.]73[.]171`
ipv4-addr	`185[.]82[.]73[.]165`
ipv4-addr	`185[.]82[.]73[.]164`
ipv4-addr	`79[.]133[.]46[.]209`

Provenienza

Allegato ufficiale CISA · 2026-07-21T16:23:45Z

SHA-512: cf3e46767cabac95a862939b203c8c827e023557d4ae3e0a8b5bf3bd311ee36ba8fb59c7b923e5d3ef40a89944cc86258fcdbe15cdcb12275e889416c1b092f3

Fonte: CISA Cybersecurity Advisories
Entità pubblicatrice: CISA
Tipo entità: Autorità nazionale
Area: North America · US
Lingua originale: en · traduzione in preparazione
Pubblicazione: 22/07/2026 14:00
Condivisione: TLP:CLEAR
MITRE ATT&CK: T0883, T0885, T1041, T1219, T1565
Classificazione: Critica
Paese indicato: US

Azione indicata dalla fonte

Verificare e correggere con priorita i sistemi Internet-facing indicati dalla fonte; applicare MFA resistente al phishing, segmentazione e backup offline immutabili con prove di ripristino.

Riferimenti tecnici ufficiali

Apri la fonte originale