Kiedy w styczniu opisywaliśmy skoordynowany atak na polską infrastrukturę energetyczną, nie spodziewaliśmy się, że w sierpniu będziemy dodawać kolejne klocki do tej układanki. Jest to jednak niezbędne, ponieważ okazało się, że ofiar było więcej, podobnie jak i metod ataku użytych przez sprytnych napastników.29 grudnia 2025 doszło do serii ataków, których ofiarą padły polskie farmy fotowoltaiczne i wiatrowe, elektrociepłownia obsługująca prawie pół miliona odbiorców oraz prywatna spółka z sektora produkcyjnego. Ustalenia analityków badających atak wskazały, że zostały one przeprowadzone przez tego samego napastnika. Według właśnie opublikowanego przez CERT Polska raportu uzupełniającego atak miał jednak jeszcze szerszy zasięg.Nieznana ofiara skutecznego atakuAtaki z 29 grudnia znane do tej pory były uciążliwe, ale nie zatrzymały procesów generowania i przesyłania energii. Farmy fotowoltaiczne i wiatrowe, mimo uszkodzeń urządzeń kontrolnych, nadal generowały prąd - elektrociepłownia obroniła się przed atakiem. Okazuje się jednak, że sprawcom udało się zatrzymać (na krótko, ale jednak) inną, mniejszą elektrociepłownię, obsługującą ok. 50 tysięcy mieszkańców. Zacznijmy jednak od tego, jak dostali się do jej sieci, bo ten scenariusz ataku był dość nietypowy.Nietypowy atakSprawcy, którzy byli już w sieci farm wiatrowych, szukali możliwości poszerzenia swoich dostępów. W zaatakowanej infrastrukturze znaleźli routery komórkowe z kartami SIM, podłączone do prywatnego APN (bramy sieciowej). APN był zarządzany przez operatora sieci dystrybucyjnej (OSD) i umożliwiał łączność między urządzeniami w wydzielonej sieci wirtualnej. W ramach prywatnego APN odbywała się komunikacja między systemem SCADA a sterownikami RTU (Remote Terminal Unit). Zgodnie z wymaganiami OSD komunikacja ta odbywała się wyłącznie za pomocą protokołu szeregowego DNP3.0. Wymagania te nie obejmowały jednak interfejsu administracyjnego routera komórkowego. Router Teltonika RUTX50 w jednej z farm wiatrowych miał dwa interfejsy - łącze szeregowe, do którego był podłączony RTU, oraz łącze Ethernet podłączone do VLAN-u. Co prawda, hasło do interfejsu routera, wystawionego przez WWW i SSH, było zmienione z domyślnego, ale sprawcy się do niego dostali. Sposobu pokonania hasła nie udało się ustalić. Udało się za to na etapie śledztwa wydobyć z urządzenia logi, wskazujące połączenia włamywaczy. Ustalenia wskazują, że router mógł być wykorzystany do tunelowania ruchu SSH do wnętrza sieci APN.Dalsze postępy napastnikówSprawcy od 18 grudnia skanowali sieć APN w poszukiwaniu usług VNC, HTTP, S7 oraz Modbus. Znaleźli w ten sposób sterownik WAGO PFC200 z wystawionym do sieci APN interfejsem WWW z domyślnym hasłem dla konta "admin". Warto podkreślić, że sterownik nie był wystawiony do internetu - znalezienie go wymagało najpierw uzyskania dostępu do prywatnej sieci APN. Sterownik nie udostępniał w domyślnej konfiguracji usługi SSH, ale napastnicy zalogowali się przez interfejs WWW i włączyli sobie dostęp SSH.Sterownik posiadał dostęp do systemów sterowania przemysłowego elektrociepłowni. Wykorzystując tunelowanie SSH napastnicy przeszukiwali sieć elektrociepłowni w poszukiwaniu usług sterowania przemysłowego S7 (102/ TCP), Modbus (502/TCP), CODESYS (11740/TCP), a także monitoringu RTSP (554/TCP) oraz zdalnego pulpitu (RDP, VNC) i WWW (HTTP, HTTPS). Zlokalizowali w ten sposób urządzenia i usługi, które docelowo starali się wyłączyć i uszkodzić.Dzień atakuOkoło godziny 5:30 w dniu 29 grudnia sprawcy połączyli się przez tunele SSH z siecią elektrociepłowni i dostali się do sterowników Siemensa S7-300, S7-1200 oraz S7-1500. Sterowniki zostały przełączone w tryb STOP oraz zabezpieczone hasłem. Wyglądało to tak:Doprowadziło to do zatrzymania turbiny parowej oraz stacji uzdatniania wody do celów technicznych. W elektrociepłowni akurat podwykonawca prowadził prace utrzymaniowe, więc niespodziewaną awarię złożono na karb pomyłki jego pracowników. Urządzenia sprawiające problemy przywrócono do ustawień fabrycznych i po krótkiej chwili procesy technologiczne ponownie ruszyły, dzięki czemu nie doszło do przerwy w dostawach ciepła do odbiorców. Na szczęście incydent zgłoszono do CERT Polska, dzięki czemu możliwa była analiza i ustalenie prawdziwych powodów awarii.Pracownicy elektrociepłowni szybko wymyślili obejście problemu - przywrócili sterowniki do ustawień fabrycznych i wgrali w nie oprogramowanie z kopii bezpieczeństwa. Co prawda, ta operacja usunęła ślady włamania, ale pozwoliła na kontynuowanie pracy.W kolejnym kroku włamywacze, podobnie jak w ataku na farmy fotowoltaiczne i wiatrowe, zmienili konfigurację siedmiu serwerów portów szeregowych i trzech przełączników sieciowych Moxa. Urządzenia zresetowano do ustawień fabrycznych oraz zmodyfikowano ich adresy IP i hasła, by utrudnić próby odzyskania dostępu.Włamywacze łączyli się także do przemienników częstotliwości z serii ACS firmy ABB, ale nie wiadomo, co próbowali z nimi zrobić. Z kolei do przemienników częstotliwości Schneider Electric ATV6xx połączyć im się nie udało, ponieważ urządzeń szukali na porcie 80, a te panel sterujący wystawiał na innym porcie.Zacieranie śladówSprawcy, podobnie jak u innych ofiar, sporo wysiłku włożyli w zacieranie śladów. W sterowniku WAGO PFC200, przez który łączyli się do sieci ofiary, uszkodzili tablicę partycji tak skutecznie, że próby odzyskiwania danych przy użyciu profesjonalnych technik laboratoryjnych (na zdjęciu poniżej) się nie powiodły.Również router komórkowy został przywrócony do ustawień fabrycznych, chociaż z niego udało się odzyskać logi.WnioskiRaport CERT Polska nie pozostawia wątpliwości - prywatne sieci APN powinny być objęte wnikliwą opieką działu bezpieczeństwa. Najlepiej traktować je jak inne sieci zewnętrzne, z potencjalnie możliwym dostępem dowolnego użytkownika. Izolacja, segmentacja, monitoring i domyślne odrzucanie ruchu poza specyficznie dozwolonym powinny znacząco pomóc w ograniczeniu ryzyka opisanego w omawianym raporcie.