LONDON (IT BOLTWISE) – Forschende haben KI-gestütztes Porting genutzt, um einen pre-auth RCE-Exploit von einem WAGO-PLC-Modell auf ein anderes zu übertragen. Der Angriff zielt auf CVE-2021-31886 im Nucleus-FTP-Server über TCP-Port 21 und erlaubt die Ausführung von peripheriem Schaltkreiseingaben in Form von ARM-Shellcode. Für die Entwicklung einer funktionierenden Endstufe fielen laut Bericht API-Kosten in Höhe von 535,74 USD an. Besonders kritisch: Ein späterer Versuch, die Funktion in Richtung C2 zu erweitern, machte ein Gerät dauerhaft unbrauchbar.
Der Kern der Meldung ist weniger das einzelne Sicherheitsleck als die Arbeitsweise dahinter: Ein Forschungsteam hat die KI-basierten Entwicklungswerkzeuge von Claude genutzt, um einen bereits funktionierenden pre-authentication Remote-Code-Execution-Exploit von einem WAGO-Programmable-Logic-Controller (PLC) auf ein anderes Modell zu übertragen. Dabei ging es nicht um theoretische Hinweise, sondern um die Ausführung von vom Angreifer gelieferten ARM-Shellcode direkt auf echter Hardware, also in einem Kontext, in dem Fehler nicht nur Software-Bugs, sondern echte Betriebsrisiken darstellen. Technisch fällt der Einstieg über CVE-2021-31886 auf, einem stackbasierten Buffer Overflow im Nucleus-FTP-Server, der noch vor der Anmeldung über TCP-Port 21 (FTP) ausnutzbar sein soll.
Damit wird ein typisches Bild aus der OT-Sicherheitswelt konkret: Die präzise Steuerung der Befehlssequenzen und das Timing der Payload-Übergabe sind häufig der Engpass bei Exploit-Portierungen. Laut Bericht richteten die Forschenden die Logik zunächst auf das Zielmodell WAGO 750-831 (mit Firmware V01.04.16) aus, nachdem es bereits ein funktionierendes RCE für WAGO 750-852 gegeben hatte. Der Erfolg hing offenbar an kleinen Unterschieden in der FTP-Verarbeitung: Während normale FTP-Verarbeitung im Ziel systematisch 256 Bytes im angreifer-kontrollierten Buffer mit Nullwerten überschreiben kann, blieb die Payload lange genug erhalten, um auszulösen. Die KI ersetzte dabei die beim Quellmodell funktionierende USER- und QUIT-Abfolge durch eine angepasste USER- und CWD-Abfolge, und zusätzlich soll das Weglassen eines CRLF-Terminator-Elements einen relevanten Verarbeitungszweig daran gehindert haben, den Ablauf wie üblich zu beenden.
Interessant ist auch der praktische Entwicklungsaufwand, der zeigt, wie schnell sich ein Workflow von „funktioniert nicht“ zu „funktioniert auf Hardware“ drehen kann. Der Bericht nennt eine Phase, in der die Payload zunächst als No-Operation (NOP) vorbereitet wurde, bevor innerhalb von rund 12 Minuten zwei weiterführende, funktionale Payload-Varianten umgesetzt waren: Eine Variante sendet ICMP Echo Requests an ein angreifer-kontrolliertes System, die andere verschickt einen UDP-Datagramm-Payload mit der Zeichenkette „PWNED“. Einordnung für Entscheidungsträger: Die demonstrierte Fähigkeit endet laut Quelle bei der Übertragung von Netzwerkpaketen – also bei dem Moment, in dem Code läuft und externe Kommunikation anstößt. Für die Bedrohungsbewertung zählt das trotzdem, denn von solchen „Proof“-Schritten ist der nächste logische Schritt für Angreifer oft die Ausweitung auf dauerhaft steuerbare Mechanismen oder das Ketten weiterer Schwachstellen im OT-Umfeld.
Die Details zur Risikolage wirken deshalb doppelt: Erstens verweist der Advisory-Stand für die betroffenen WAGO-Modelle darauf, dass es für diese Nucleus-RTOS-basierte Version aktuell keine Updates gibt. Das CERT@VDE rät deshalb Besitzern, FTP auf Port 21 zu deaktivieren oder zu blockieren, Segmentierungsmaßnahmen konsequent durchzusetzen und Netzwerkverkehr auf Anomalien zu überwachen. Zweitens gibt es laut Bericht Hinweise darauf, dass ein Teil der Einschränkung nicht direkt durch die bekannte CVE erklärt wird: Bei einer frühen Session soll die KI einen potenziellen Bug in einer Schleife zur Extraktion von FTP-Kommandos entdeckt haben, der nicht in CVE-2021-31886 aufgeht und bislang keine eigene CVE-Nummer erhalten hat. Drittens ist der Hinweis auf mögliche operative Nebeneffekte relevant, weil ein späterer, separater Versuch, den Exploit in Richtung eines Command-and-Control-Implants zu erweitern, ein Gerät dauerhaft „gebrickt“ haben soll.
Für das Verständnis, warum das so alarmierend wirkt, hilft ein Blick auf den breiteren Kontext: In der Quelle wird auf eine gemeinsame Warnung von NSA, CISA, FBI, dem US-Energieministerium sowie der US-Umweltschutzbehörde Bezug genommen, die auf eine aktive Bedrohung durch internetexponierte Siemens-S7-PLC aus KI-generierten Ausnutzungsskripten hinweisen. Außerdem wird geschildert, dass die Behörden die Aktivität als wahrscheinlich für fortgesetzte Aufklärung und die Entwicklung von Fähigkeiten einschätzen, ohne jedoch eine eindeutige Zuordnung vorzunehmen. Parallel dazu wird in dem Bericht von Angriffen auf Wasserversorger in mehreren Bundesstaaten gesprochen, bei denen Angreifer Zugriff über geänderte IP-Adressen und Passwörter auf internetfähigen Rockwell-Automation-MicroLogix-Controllern erlangt haben sollen – also ohne zwingende Exploit-Entwicklung. Zusammen ergibt das: KI kann die Hürde senken, Exploit-Code schneller von einem Zielsystem auf ein anderes zu portieren, während schlechte Exponierungs- und Zugangshygiene oft den Weg zum Ziel ohnehin verkürzt.
Auch die Marktdimension ist eindeutig: In der OT-Sicherheit ist die Kombination aus Modellübertragbarkeit und Automatisierung ein Hebel, der den „Zeitfaktor“ aushebeln kann. Laut Bericht mussten die Portierungsphasen „sustained researcher steering“ erhalten, und die finalen RCE-Entwicklungsstufen kosteten während einer 8-Stunden-32-Minuten-Session 535,74 USD an API-Nutzung. Gleichzeitig bleibt die Erkenntnis wichtig, dass Autorisierungslücken in Unternehmen nicht nur das Ergebnis fehlender Updates sind, sondern die Bedienlogik von Sicherheitsprozessen betreffen: Die Quelle formuliert als unmittelliches Risiko, dass nicht ein autonom agierender Agent „alleine“ eine Anlage angreift, sondern ein berechtigter Agent in einer physischen Umgebung die falsche Aktion ausführt – mit realen Betriebsfolgen. Das unterstreicht für Betreiber die praktische Relevanz von Maßnahmen wie Port-Blocking, Segmentierung, Anomalieerkennung und kontrollierten Betriebszugängen, weil selbst „lokale“ Fehler in der Payload-Entwicklung oder im Testzyklus dort Schäden verursachen können.
Was Unternehmen daraus ableiten können, ist weniger „Panik vor KI“, sondern eine präzisere Sicherheits- und Teststrategie. Wer FTP oder ähnliche Dienste auf PLCs zulässt, erhöht die Angriffsfläche für präauthentifizierte Wege über Standardports, und genau an dieser Stelle setzt CVE-2021-31886 an. Daneben lohnt es sich, Patch- und Firmware-Status nicht nur als Vendor-Zettel abzuhaken, sondern auf konkrete Produktvarianten herunterzubrechen: Der Bericht nennt mehrere WAGO-Geräteklassen als betroffen, wobei die Fixlage je nach Modell teils unklar bleibt. Abschließend zeigt die Recherche, dass KI nicht automatisch jeden Schritt eines Exploit-„Lebenszyklus“ vollständig autonom macht, aber sie kann Porting- und Anpassungsarbeit beschleunigen, und sie kann dabei technische Fehler in einem Entwicklungsprozess erzeugen, die auf echter Hardware sehr teuer werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-gestützter Exploit-Porting-Angriff: Claude macht RCE auf WAGO-PLCs möglich" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-gestützter Exploit-Porting-Angriff: Claude macht RCE auf WAGO-PLCs möglich" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-gestützter Exploit-Porting-Angriff: Claude macht RCE auf WAGO-PLCs möglich« bei Google Deutschland suchen, bei Bing oder Google News!