前言
全球5219台响应以太网/IP (EIP)并自我识别为Rockwell Automation/Allen-Bradley设备(与AA26-097A直接相关的攻击面)的互联网暴露主机。
美国占全球暴露量的74.6%(3，891台主机)，在蜂窝运营商ASN上的份额不成比例，表示蜂窝调制解调器上的现场部署设备。
Censys对已公布的IOC列表的旋转显示，CISA的七个185.82.73.x指标代表运行完整Rockwell工具链的单个多宿主Windows工程工作站，同一主机上的四个额外运营商IP不在咨询范围内。
1.威胁环境
创作机构评估认为，一群与伊朗有关联的APT行为者——与IRGC网络电子司令部(CEC)有联系，以前被追踪为CyberAv3ngers (Shahid Kaveh Group)
自至少2026年3月以来一直在有针对性地利用面向互联网的罗克韦尔自动化/艾伦-布拉德利PLC。
这项活动是继2023年11月开始的一项类似活动之后进行的，该活动危及了美国供水和废水设施中至少75台Unitronics设备(CISA AA23-335A)。
当前的活动包括使用合法供应商软件(Rockwell Studio 5000 Logix Designer)直接访问互联网暴露的PLC，使参与者能够与项目文件进行交互并操纵HMI/SCADA显示数据，而无需零日开发。
确认的目标设备系列包括CompactLogix和Micro850。咨询说明中还提到了其他OT协议(Modbus/502、S7/102 ),表明了更广泛的多供应商目标意向。
2.地理暴露
Censys识别出全球范围内响应以太网/IP(端口44818)并自我识别为Rockwell Automation/Allen-Bradley设备的5219台暴露于互联网的主机。
地理分布严重偏向美国，占全球暴露量的74.6%，这与罗克韦尔在北美工业自动化领域的主导市场地位一致。
主要地理观察
西班牙(110)、台湾(78)和意大利(73)代表了最大的非英语圈集中地。
冰岛的存在(36台主机)与其人口不成比例，鉴于其地热能源基础设施，值得关注。
该咨询专门针对美国政府/设施、WWS和能源行业，所有这些行业都有强大的Rockwell罗克韦尔足迹。
3.自主系统分析
暴露设备的ASN分布显示了对蜂窝运营商网络的惊人集中，仅威瑞森业务(CELLCO-PART)就占了2，564台主机(占全球总数的49.1%)，美国电话电报公司移动公司另外增加了693台(13.3%)。
这种模式强烈表明，很大一部分接触互联网的PLC通过用于远程现场连接的蜂窝调制解调器连接到互联网，这种部署模式咨询明确标记为需要强化。
4.设备产品细分
以太网/IP身份响应暴露了设备级产品字符串，无需认证即可实现PLC型号和固件版本的精细指纹识别。
前15个产品系列由两个系列主导:MicroLogix 1400(目录前缀1766-)和CompactLogix (1769-，5069-)，其中有一个Micro820 (2080-)条目。
全球5219台响应以太网/IP (EIP)并自我识别为Rockwell Automation/Allen-Bradley设备(与AA26-097A直接相关的攻击面)的互联网暴露主机。
美国占全球暴露量的74.6%(3，891台主机)，在蜂窝运营商ASN上的份额不成比例，表示蜂窝调制解调器上的现场部署设备。
Censys对已公布的IOC列表的旋转显示，CISA的七个185.82.73.x指标代表运行完整Rockwell工具链的单个多宿主Windows工程工作站，同一主机上的四个额外运营商IP不在咨询范围内。
1.威胁环境
创作机构评估认为，一群与伊朗有关联的APT行为者——与IRGC网络电子司令部(CEC)有联系，以前被追踪为CyberAv3ngers (Shahid Kaveh Group)
自至少2026年3月以来一直在有针对性地利用面向互联网的罗克韦尔自动化/艾伦-布拉德利PLC。
这项活动是继2023年11月开始的一项类似活动之后进行的，该活动危及了美国供水和废水设施中至少75台Unitronics设备(CISA AA23-335A)。
当前的活动包括使用合法供应商软件(Rockwell Studio 5000 Logix Designer)直接访问互联网暴露的PLC，使参与者能够与项目文件进行交互并操纵HMI/SCADA显示数据，而无需零日开发。
确认的目标设备系列包括CompactLogix和Micro850。咨询说明中还提到了其他OT协议(Modbus/502、S7/102 ),表明了更广泛的多供应商目标意向。
2.地理暴露
Censys识别出全球范围内响应以太网/IP(端口44818)并自我识别为Rockwell Automation/Allen-Bradley设备的5219台暴露于互联网的主机。
地理分布严重偏向美国，占全球暴露量的74.6%，这与罗克韦尔在北美工业自动化领域的主导市场地位一致。
主要地理观察
西班牙(110)、台湾(78)和意大利(73)代表了最大的非英语圈集中地。
冰岛的存在(36台主机)与其人口不成比例，鉴于其地热能源基础设施，值得关注。
该咨询专门针对美国政府/设施、WWS和能源行业，所有这些行业都有强大的Rockwell罗克韦尔足迹。
3.自主系统分析
暴露设备的ASN分布显示了对蜂窝运营商网络的惊人集中，仅威瑞森业务(CELLCO-PART)就占了2，564台主机(占全球总数的49.1%)，美国电话电报公司移动公司另外增加了693台(13.3%)。
这种模式强烈表明，很大一部分接触互联网的PLC通过用于远程现场连接的蜂窝调制解调器连接到互联网，这种部署模式咨询明确标记为需要强化。
4.设备产品细分
以太网/IP身份响应暴露了设备级产品字符串，无需认证即可实现PLC型号和固件版本的精细指纹识别。
前15个产品系列由两个系列主导:MicroLogix 1400(目录前缀1766-)和CompactLogix (1769-，5069-)，其中有一个Micro820 (2080-)条目。
