Riset Forescout: Model AI Claude Digunakan Mem-Porting Eksploitasi RCE Pre-Auth pada Kontroller Industri PLC

Evolusi Eksploitasi ICS Berbasis AI: Dari Konsep ke Perangkat Keras Fisik

Tim peneliti keamanan siber dari Forescout Research (Vedere Labs) mengungkap temuan riset penting mengenai kapabilitas kecerdasan buatan dalam lanskap keamanan industri. Peneliti berhasil memanfaatkan model bahasa besar Claude milik Anthropic untuk mengadaptasi dan mem-porting kode eksploitasi pre-authentication Remote Code Execution (RCE) dari satu model kontroller logika terprogram (Programmable Logic Controller / PLC) ke model PLC lain secara langsung pada perangkat keras fisik (live hardware).

Eksploitasi ini menyasar kerentanan kritis CVE-2021-31886 (skor keparahan CVSS 9.8), yaitu kelemahan stack-based buffer overflow pada modul FTP server sistem operasi real-time (RTOS) Nucleus saat menangani perintah USER melalui port TCP 21 sebelum otentikasi.

Metodologi Riset: Integrasi Claude Code, Ghidra, dan Analisis Firmware

Dalam eksperimen ini, tim peneliti menyediakan biner firmware target untuk kontroller WAGO 750-831 serta unit fisik PLC sebagai target live. Sesi interaktif dijalankan menggunakan Claude Code yang terhubung dengan utilitas terminal, perangkat reverse-engineering Ghidra, dan target PLC:

• Transisi Model AI: Pengujian dimulai dengan Claude Sonnet 4.6 dan beralih ke Claude Opus 4.6 ketika proses rekayasa payload menemui kendala teknis.
• Bypass Mekanisme Zeroing Memori: Pada model PLC target, proses FTP normal secara otomatis mereset memori sebesar 256 byte menjadi nol. Claude berhasil memecahkan tantangan ini dengan mengubah urutan perintah USER dan QUIT menjadi kombinasi USER dan CWD tanpa karakter akhir CRLF, sehingga payload shellcode ARM tidak tertimpa dan berhasil dieksekusi oleh prosesor.
• Pembuatan Shellcode Fungsional: Hanya dalam waktu 12 menit pasca eksekusi kode awal, model AI berhasil merancang dua payload operasional: satu payload untuk memicu ping ICMP ke server pengendali, dan satu payload untuk mengirimkan paket UDP bertuliskan PWNED.

Biaya Komputasi & Risiko Kerusakan Permanen (Bricking)

Proses adaptasi eksploitasi ini memerlukan pengarahan berkelanjutan dari peneliti ahli dan menghabiskan biaya pemanggilan API sebesar 35,74 selama sesi 8 jam 32 menit.

Dalam sesi lanjutan ketika tim mencoba memperluas kapabilitas eksploitasi menjadi implan Command-and-Control (C2), model AI secara keliru menulis data ke area memori flash, yang mengakibatkan perangkat PLC mengalami kerusakan permanen (bricked).

Forescout mencatat bahwa risiko paling mendesak saat ini bukanlah agen AI yang secara independen memutuskan menyerang pabrik, melainkan risiko ketika agen AI yang diberi wewenang melakukan tindakan salah pada sistem fisik yang memiliki konsekuensi operasional nyata.

Peringatan Bersama Badan Keamanan Siber AS (NSA, CISA, FBI, DOE, EPA)

Publikasi riset ini sejalan dengan peringatan darurat bersama (joint advisory) yang diterbitkan oleh NSA, CISA, FBI, Departemen Energi (DOE), dan EPA mengenai ancaman skrip eksploitasi otomatis berbasis AI:

"Pemanfaatan kecerdasan buatan untuk merancang skrip eksploitasi menandai lompatan kapabilitas ancaman siber, yang secara signifikan memangkas keahlian teknis dan waktu yang dibutuhkan aktor jahat untuk menciptakan alat eksploitasi fungsional pada sistem kendali industri (ICS/OT)."

Panduan Hardening & Mitigasi Sistem OT/ICS

Bagi operator infrastruktur kritis dan pengelola jaringan kontrol operasional (OT):

1. Nonaktifkan Port FTP 21: Tutup seluruh akses layanan FTP yang tidak terenkripsi pada perangkat PLC dan fieldbus coupler di seluruh area pabrik.
2. Terapkan Segmentasi Jaringan Ketat: Pisahkan secara mutlak jaringan kontrol industri (Purdue Model Level 1-3) dari jaringan korporat dan internet publik.
3. Monitoring Anomali Protokol Industri: Awasi lalu lintas jaringan OT secara real-time terhadap upaya pemindaian port dan struktur paket yang menyimpang dari standar operasional normal.

Sumber Informasi

Artikel ini disusun berdasarkan publikasi riset Forescout Vedere Labs, buletin CERT@VDE, advisory bersama CISA/NSA/FBI, dan laporan The Hacker News.

🔗 Sumber asli: The Hacker News — Researchers Use Claude to Port Pre-Auth RCE Exploit From One PLC Model to Another