Атакуващи са спрели парна турбина и системата за пречистване на технологична вода в полска когенерационна топлоелектрическа централа (ТЕЦ), прониквайки през частната клетъчна мрежа, която местният системен оператор използва за достъп до отдалечено оборудване.

Централата снабдява с топлинна енергия около 50 000 жители. Възстановяването е започнало около 7:30 ч. сутринта, докато нападателите все още са били активни в мрежата, като потребителите не са останали без отопление или електричество.

CERT Polska разкри инцидента от декември 2025 г. на 8 август след разследване, продължило повече от три месеца. През януари министър-председателят на Полша заяви, че са засегнати две когенерационни централи. Това е втората.

Пътят на атаката е преминал през частно APN (име на точка за достъп) – специализирана клетъчна мрежа за данни, управлявана от оператора на разпределителната система. Конфигурация, позволяваща на произволни устройства в това APN да комуникират помежду си, е позволила на киберпрестъпника да се прехвърли от компрометираната мрежа на вятърна електроцентрала към контролер в ТЕЦ-а.

От CERT посочват, че достъпът до промишлена контролна мрежа през частно APN е, доколкото им е известно, „първият случай на наблюдение на този вектор на атака в реална кибератака“. Вятърният парк и ТЕЦ-ът са отделни съоръжения и нито едно от тях не управлява мрежата, която ги свързва.

Докладът не установява конкретна уязвимост (CVE) като причина за проникването, а разследващите не са успели да определят дали е експлоатирана уязвимост в рутера Teltonika, така че няма конкретна софтуерна корекция за сигурност, която да бъде инсталирана.

Контролерът WAGO, достъпен през APN, все още е бил с фабрични администраторски идентификационни данни, докато частното APN е позволявало трафик между клиентите. Първата препоръка на CERT е да се одитира конфигурацията на частното APN и да се активира изолация на клиентите.

Също така се съветва APN да се третира като ненадеждно от страна на оперативните технологии (OT), да се сегментира и ограничи трафикът, да се премахнат излишните услуги за управление от интерфейсите, достъпни през APN, и да се променят фабричните пароли.

От CERT споделят, че техните проучвания са установили, че полските организации, работещи с частни APN, масово позволяват на всяко устройство в мрежата да достига до всяко друго. Вярва се, че подобни конфигурации са широко разпространени и в други страни. SSH услугата на рутера, уеб интерфейсът на контролера и разрешаващото APN са работили точно според конфигурацията си.

Пътят на атаката е започнал от вятърна електроцентрала, където устройство FortiGate е служило едновременно като защитна стена и VPN концентратор. Неговият VPN е бил изложен на интернет и е позволявал акаунти без многофакторна автентикация. Атакуващият е разполагал с администраторски права на устройството и вероятно ги е използвал за получаване на VPN идентификационни данни, с които да достигне до всички мрежови сегменти.

Разпределителният оператор е изисквал комуникациите към отдалечения терминал на подстанцията да се извършват по серийния протокол DNP3.0 и това изискване е било спазено. Но подобни изисквания не са обхващали интерфейса за управление на клетъчния рутер, който се е намирал на втори интерфейс – Ethernet порт, свързан към VLAN зад компрометираната защитна стена.

Вятърният парк е изпълнил поставеното изискване за DNP3.0 и въпреки това е осигурил входящия маршрут. Това изискване е регулирало начина на предаване на данните, а не начина на администриране на устройството, което ги пренася.

Рутерът е бил Teltonika RUTX50, чиято фабрична парола е била променена по време на внедряването. Разследващите са открили многократни успешни влизания през SSH, но не са успели да установят как атакуващият е придобил тази парола.

Към 11 август The Hacker News прегледа публикуваните уязвимости в собствения фърмуер на рутера и не откри такива, които биха предоставили паролата на неавтентифициран атакуващ. Двете слаби места в серията RUT от бюлетина на CISA за Teltonika от 2023 г. (CVE-2023-32349 и CVE-2023-32350) изискват съществуващи привилегии на устройството, а дефектите в модема на RUTX50 водят само до отказ на услуга. Не е изключена и непубликувана уязвимост.

Логовете от мобилния оператор са насочили CERT към оценката, че атакуващият най-вероятно е използвал SSH тунелиране през рутера, за да достигне до частното APN. Започвайки от 18 декември, злонамереният субект е сканирал APN и е открил контролер WAGO PFC200, показващ своя уеб интерфейс за администриране с фабрични администраторски данни. Последващата SSH активност предполага, че услугата вероятно е била активирана през този интерфейс, а времевата корелация е довела CERT до извода, че атакуващият най-вероятно е направил тунел през WAGO в OT мрежата на централата.

На 25 декември атакуващият успешно се е свързал с три PLC контролера на Siemens по протокола S7 – активност, която CERT счита най-вероятно за разузнаване преди последващите разрушителни действия.

На 29 декември активността на киберпрестъпника в мрежата на ТЕЦ-а е продължила от около 5:30 ч. до около 10:10 ч., като възстановяването на централата е започнало около 7:30 ч. Според персонала на централата, контролерите Siemens S7-300, S7-1200 и S7-1500 са били превключени в режим STOP и защитени с парола, което е спряло турбината и системата за пречистване на технологична вода и е прекъснало когенерацията.

Седем серийни сървъра за устройства Moxa и три суича също са били върнати към фабричните настройки, с променени пароли и зададени недостъпни IP адреси.