Атаката срещу полския енергиен сектор разкри как едно компрометирано устройство за отдалечен достъп може да се превърне в първата стъпка към по-мащабно проникване в индустриална среда.

Кампанията се е преместила от мрежата на вятърен парк към топлоелектрическа централа (ТЕЦ), превръщайки доверената свързаност в средство за прекъсване на работните процеси.

Инцидентът е станал на 29 декември 2025 г., успоредно с координирани разрушителни атаки срещу повече от 30 съоръжения за възобновяема енергия.

В централата навлизането е спряло парна турбина и система за пречистване на водата, прекъсвайки когенерацията, въпреки че топлоснабдяването и електроснабдяването за около 50 000 жители са продължили без прекъсване.

Анализаторите от CERT.PL идентифицираха маршрута след тримесечно разследване на първоначално подозирана грешка при поддръжката.

Техните констатации показват, че нападателят не е имал нужда да излага централата директно на интернет. Вместо това той е преминал през мрежите чрез частна мобилна среда за данни, използвана за оперативни комуникации.

Случаят напомня за координираните атаки срещу полската енергетика, където целта беше по-скоро саботаж, отколкото кражба на данни.

В доклад на CERT.PL, споделен с Cyber Security News (CSN), се посочва, че това показва как една привидно изолирана връзка създава риск, когато прикачените устройства могат да комуникират свободно помежду си.

Атакуващият първо е получил достъп до периферно устройство на вятърния парк, съчетаващо функциите на защитна стена (firewall) и VPN.

Свързаният с интернет VPN е нямал многофакторна автентификация (MFA) за локално дефинираните акаунти, а административният контрол вероятно е осигурил на злонамерения субект идентификационни данни за VPN акаунт с достъп до всеки мрежов сегмент.

След това атакуващият е открил клетъчен рутер, свързан както към вятърния парк, така и към частно APN (мобилна мрежа за оператора на разпределителната система). Неговата уеб конзола и SSH услуга са се превърнали в мост към APN мрежата.

Следващата цел е била контролер на ТЕЦ-а, достъпен през APN. Неговият уеб интерфейс за администриране е използвал идентификационни данни по подразбиране. След като е активирал SSH, киберпрестъпникът е създал друг тунел към мрежата за оперативни технологии (OT).

Тази верига е важна, тъй като частните APN често се третират като защитен транспорт за данни. В този случай обаче конфигурацията е позволявала връзки между произволни прикачени устройства, което عمлано е позволило пробивът на един обект да достигне до друг.

Читателите, които следят разследванията на пробиви във FortiGate, ще разпознаят по-широкия извод: компрометирането на периферно устройство може да изложи на риск много повече от самото устройство.

Разузнаването е довело до прекъсване на процеса

Между 18 и 25 декември злонамереният субект е сканирал за услуги за дистанционно управление и индустриални системи, след което е проучил мрежата на ТЕЦ-а и се е опитал да получи достъп до неговата защитна стена и системи за отдалечен достъп до десктопа.

Дейността е включвала успешен контакт с три контролера на Siemens преди финалната операция, което показва целенасочена подготовка, а не случайна атака.

Сутринта на 29 декември атакуващият е достигнал до интерфейса за надзор на централата и след това до контролерите Siemens S7. Контролерите са преминали в режим „STOP“, спирайки парната турбина и системата за пречистване на водата.

Персоналът е възстановил фабричните настройки и е заредил резервни копия на логиката, ограничавайки прекъсването, но това възстановяване е изтрило и регистрационните файлове (логове) на устройствата, необходими за целите на съдебно-криминалистичния анализ.

Атакуващият също така е рестартирал сървърите за серийни устройства и мрежовите комутатори, променил е техните пароли и е коригирал мрежовите им настройки, за да забави възстановяването на работата.

Активността е продължила почти пет часа след като централата е започнала възстановяване. След това контролерът на шлюза е бил повреден, клетъчният рутер – нулиран, а първоначалното периферно устройство е било възстановено до фабрични настройки, което е заличило ценни доказателства.

Този епизод се различава от дейността на разрушителния зловреден код „DynoWiper“, докладвана другаде в по-широката полска кампания, тъй като този път е бил насочен към директно манипулиране на индустриални устройства.

Въпреки това той постига същата цел: прекъсване на критични операции, като същевременно затруднява възстановяването.

CERT.PL препоръчва одит на конфигурациите на частните APN, активиране на изолация на клиентите и третиране на APN като ненадеждна мрежа, когато тя навлиза в оперативна мрежа.

Организациите трябва да ограничават връзките със списъци с разрешени адреси (allowlists), да сегментират шлюза от системите за управление, да наблюдават необичайния трафик, да централизират логовете на шлюза, да премахват изложените административни услуги, да променят идентификационните данни по подразбиране и да включват тези връзки в тестове за проникване (пентестове) и прегледи на архитектурата.

Тези мерки за контрол трябва да се тестват независимо и редовно. Съветите съвпадат с необходимостта да се защити изложеният VPN достъп, но те се отнасят и за всеки предполагаемо частен маршрут към индустриалните системи.