CERT Polska ujawnia kolejny szczegół grudniowego cyberatak na energetykę

Gdy w styczniu informowaliśmy o zorganizowanym uderzeniu na polski sektor energetyczny, nikt nie zakładał, że temat będzie wracał jeszcze w sierpniu. Tymczasem konieczne stało się uzupełnienie całej sprawy o nowe elementy, bo lista poszkodowanych okazała się dłuższa, a arsenał technik wykorzystanych przez napastników - bogatszy, niż wcześniej sądzono.

Seria incydentów z 29 grudnia 2025 roku dotknęła polskie instalacje fotowoltaiczne i wiatrowe, elektrociepłownię zasilającą blisko pół miliona odbiorców, a także prywatną firmę produkcyjną. Eksperci analizujący sprawę potwierdzili, że za wszystkimi zdarzeniami stał ten sam sprawca. Świeżo opublikowany, uzupełniający raport CERT Polska pokazuje jednak, że skala operacji była większa, niż początkowo przypuszczano.

Nieznana ofiara skutecznego ataku

Dotychczas opisywane grudniowe incydenty były kłopotliwe, jednak nie przerwały produkcji ani przesyłu energii - farmy fotowoltaiczne i wiatrowe, mimo zniszczonych urządzeń kontrolnych, dalej wytwarzały prąd, a elektrociepłownia obroniła się przed próbą sabotażu. Tym razem jednak wychodzi na jaw, że napastnicy zdołali chwilowo wstrzymać działanie innej, mniejszej elektrociepłowni, zasilającej około 50 tysięcy osób. Warto zacząć od opisu drogi, jaką przestępcy dotarli do jej systemów, bo scenariusz włamania był dość nieszablonowy.

Nietypowy atak

Napastnicy, mający już dostęp do sieci farm wiatrowych, próbowali poszerzyć swoje uprawnienia. W zainfekowanej infrastrukturze wykryli routery komórkowe z kartami SIM podłączonymi do prywatnego APN - bramy sieciowej zarządzanej przez operatora sieci dystrybucyjnej (OSD), umożliwiającej komunikację urządzeń w wydzielonej sieci wirtualnej.

Za pomocą tego prywatnego APN system SCADA wymieniał dane ze sterownikami RTU (Remote Terminal Unit). Zgodnie z regulaminem OSD komunikacja miała przebiegać wyłącznie protokołem szeregowym DNP3.0 - te wytyczne nie obejmowały jednak panelu administracyjnego routera komórkowego. Urządzenie Teltonika RUTX50, zainstalowane w jednej z farm wiatrowych, dysponowało dwoma interfejsami: portem szeregowym połączonym z RTU oraz łączem Ethernet podłączonym do VLAN-u. Hasło do panelu routera, dostępnego przez WWW i SSH, zostało zmienione względem domyślnego, ale mimo to napastnicy zdobyli do niego dostęp - dokładnej metody złamania zabezpieczeń nie udało się odtworzyć. Śledczy zdobyli natomiast logi z urządzenia, które udokumentowały połączenia intruzów. Z ustaleń wynika, że router mógł służyć do tunelowania ruchu SSH w głąb sieci APN.

Dalsze postępy napastników

Już od 18 grudnia sprawcy przeszukiwali sieć APN pod kątem usług VNC, HTTP, S7 i Modbus. W ten sposób natrafili na sterownik WAGO PFC200, który udostępniał w sieci APN interfejs WWW zabezpieczony domyślnym hasłem konta "admin". Co istotne, sterownik nie był bezpośrednio wystawiony do internetu - dostęp do niego wymagał wcześniejszego przedostania się do prywatnej sieci APN. Domyślnie urządzenie nie miało włączonej usługi SSH, jednak napastnicy zalogowali się przez panel WWW i sami tę funkcję aktywowali.

Sterownik posiadał połączenie z systemami sterowania przemysłowego elektrociepłowni. Korzystając z tunelu SSH, intruzi penetrowali sieć zakładu, szukając usług przemysłowych takich jak S7 (102/TCP), Modbus (502/TCP) oraz CODESYS (11740/TCP), a także systemów monitoringu RTSP (554/TCP) i zdalnego dostępu (RDP, VNC) oraz WWW (HTTP, HTTPS). Dzięki temu zidentyfikowali urządzenia i usługi, które później próbowali unieszkodliwić.

Dzień ataku

Około 5:30 rano 29 grudnia napastnicy, korzystając z tuneli SSH, dostali się do sieci elektrociepłowni i przejęli kontrolę nad sterownikami Siemens S7-300, S7-1200 oraz S7-1500. Urządzenia przełączono w tryb STOP i zablokowano hasłem.

Skutkiem tej ingerencji było zatrzymanie turbiny parowej oraz stacji uzdatniania wody technicznej. Ponieważ w tym samym czasie na terenie elektrociepłowni pracował podwykonawca wykonujący prace utrzymaniowe, nieoczekiwaną usterkę początkowo przypisano błędowi jego pracowników. Uszkodzone urządzenia przywrócono do ustawień fabrycznych, po czym procesy technologiczne wznowiono, a odbiorcy nie doświadczyli przerwy w dostawach ciepła. Sprawę zgłoszono jednak do CERT Polska, co umożliwiło późniejsze zbadanie rzeczywistych przyczyn awarii.

Personel elektrociepłowni błyskawicznie znalazł rozwiązanie problemu - sterowniki zresetowano do ustawień fabrycznych i odtworzono z kopii zapasowej. Taki zabieg, choć skutecznie zatrzymał produkcję na krótko, jednocześnie zatarł dowody włamania, umożliwiając jednak dalszą pracę instalacji.

W następnym etapie intruzi, powtarzając schemat znany już z ataku na farmy fotowoltaiczne i wiatrowe, zmodyfikowali ustawienia siedmiu serwerów portów szeregowych oraz trzech przełączników sieciowych marki Moxa. Sprzęt przywrócono do fabrycznych parametrów, a jednocześnie zmieniono jego adresy IP oraz hasła, co miało utrudnić ponowne odzyskanie kontroli.

Napastnicy nawiązywali też połączenia z przemiennikami częstotliwości ABB z serii ACS, choć nie ustalono, jakie działania planowali w ich przypadku wykonać. Nie powiodła się z kolei próba połączenia z przemiennikami częstotliwości Schneider Electric ATV6xx - intruzi szukali panelu sterującego na porcie 80, podczas gdy urządzenia udostępniały go na innym porcie.

Zacieranie śladów

Podobnie jak w przypadku innych zaatakowanych podmiotów, napastnicy poświęcili wiele uwagi ukrywaniu swojej aktywności. W sterowniku WAGO PFC200, który stanowił punkt wejścia do sieci ofiary, doprowadzili do tak poważnego uszkodzenia tablicy partycji, że nawet profesjonalne laboratoryjne metody odzyskiwania danych zawiodły.

Także router komórkowy przywrócono do ustawień fabrycznych, jednak w tym przypadku udało się odzyskać zapisane logi.

Wnioski

Raport CERT Polska jednoznacznie wskazuje, że prywatne sieci APN wymagają szczególnej uwagi zespołów bezpieczeństwa. Rekomendowane podejście to traktowanie ich na równi z innymi sieciami zewnętrznymi, w których dostęp może uzyskać potencjalnie każdy użytkownik. Wdrożenie izolacji, segmentacji, monitoringu oraz domyślnego blokowania całego ruchu poza wyraźnie dozwolonym powinno istotnie zmniejszyć ryzyko opisane w raporcie.

Źródło: Zaufana Trzecia Strona