A támadók leállítottak egy gőzturbinát és a technológiai vízkezelő rendszert egy lengyel kapcsolt hő- és erőműben, miután bejutottak a helyi hálózatüzemeltető által távoli berendezések elérésére használt privát mobilhálózaton keresztül.

Az erőmű nagyjából 50 000 lakost lát el távhővel. A helyreállítás reggel fél nyolc körül indult, miközben a behatolók még mindig aktívak voltak a hálózatban, de a fogyasztók sem hő-, sem áramszolgáltatás-kiesést nem tapasztaltak.

CERT Polska augusztus 8-án hozta nyilvánosságra a 2025 decemberi incidenst, több mint három hónapos vizsgálat után. Lengyelország miniszterelnöke januárban azt mondta, hogy két kapcsolt hő- és erőművet ért támadás. Ez a második eset.

A támadók egy privát APN-en (access point name) keresztül jutottak be: ez egy dedikált mobil adatátviteli hálózat, amelyet az elosztórendszer-üzemeltető kezel. A konfiguráció lehetővé tette, hogy az APN-re csatlakozó bármely eszköz kommunikáljon a többi eszközzel. Így tudott a támadó egy feltört szélerőmű-hálózatról átlépni a kapcsolt hő- és erőmű egyik vezérlőjére.

A CERT szerint ipari vezérlőhálózat elérése privát APN-en keresztül – tudomásuk szerint – „az első olyan eset, amikor ezt a támadási vektort valódi kibertámadásban megfigyelték”. A szélerőmű és az erőmű külön létesítmények, és egyikük sem üzemelteti azt a hálózatot, amely összekötötte őket.

A jelentés nem azonosít CVE-t a behatolás okaként, és a vizsgálat nem tudta megállapítani, hogy kihasználtak-e valamilyen sebezhetőséget a Teltonika routerben, ezért nincs egyetlen szoftveres javítócsomag, amit csak úgy fel lehetne tenni.

Az APN-en keresztül elérhető WAGO vezérlőn továbbra is az alapértelmezett adminisztrátori hitelesítési adatok voltak beállítva, miközben a privát APN engedte a kliens-kliens forgalmat. A CERT első javaslata, hogy vizsgálják át a privát APN konfigurációját, és kapcsolják be a kliensizolációt.

Azt is javasolják, hogy az üzemirányítási (OT) oldalról nem megbízható hálózatként kezeljék az APN-t, szegmentálják és korlátozzák a forgalmat, távolítsák el a felesleges menedzsment szolgáltatásokat az APN-ről elérhető interfészekről, és változtassák meg az alapértelmezett hitelesítési adatokat.

A CERT szerint a felmérések azt mutatják, hogy a privát APN-t használó lengyel szervezeteknél általános gyakorlat, hogy a hálózaton lévő bármely eszköz elérhet bármely másikat. Úgy vélik, hasonló konfigurációkat más országokban is széles körben használnak. A router SSH szolgáltatása, a vezérlő webes felülete és a megengedő APN-beállítások mind a konfigurációnak megfelelően működtek.

A támadási útvonal egy szélerőműnél kezdődött, ahol egy FortiGate eszköz egyszerre szolgált tűzfalként és VPN koncentrátorként. A VPN ki volt téve az internet felé, és olyan fiókokat is engedett, amelyeknél nem volt bekapcsolva a többtényezős hitelesítés. A támadó adminisztrátori jogosultsággal rendelkezett az eszközön, és feltehetően így szerzett olyan VPN hitelesítési adatokat, amelyekkel a hálózat minden szegmensét elérhette.

A hálózatüzemeltető előírta, hogy az alállomás távoli terminálegységével a kommunikáció a soros DNP3.0 protokollon fusson, és ezt a követelményt teljesítették is. A mobil router menedzsment felületére viszont nem vonatkozott hasonló elvárás. Ez a felület egy második interfészen ült: egy Ethernet porton, amely egy VLAN-hoz csatlakozott a feltört tűzfal mögött.

A szélerőmű teljesítette a számára előírt DNP3.0-követelményt, mégis rajta keresztül nyílt meg az út befelé. A követelmény csak azt szabályozta, hogyan utaznak az adatok, azt nem, hogyan kezelik azt az eszközt, amely ezeket továbbítja.

A router egy Teltonika RUTX50 volt, amelynek alapértelmezett jelszavát a telepítéskor megváltoztatták. A vizsgálat során többszöri sikeres SSH-bejelentkezést találtak, de nem sikerült kideríteni, hogyan jutott a támadó a jelszóhoz.

Augusztus 11-ig a The Hacker News áttekintette a router saját firmware-éhez kiadott sebezhetőségeket, és nem talált olyat, amely hitelesítés nélküli támadónak kiadná a jelszót. A CISA 2023-as Teltonika közleményében szereplő két RUT-sorozatú hiba, a CVE-2023-32349 és a CVE-2023-32350 egyaránt meglévő jogosultságot igényel az eszközön, a RUTX50 modemével kapcsolatos hibák pedig legfeljebb szolgáltatásmegtagadást okoznak. Egy eddig nem publikált sebezhetőséget ugyanakkor nem lehet kizárni.

A mobilszolgáltató naplói alapján a CERT úgy ítélte meg, hogy a támadó nagy valószínűséggel SSH tunnelinget használt a routeren keresztül a privát APN eléréséhez. December 18-tól kezdve a támadó feltérképezte az APN-t, és talált egy WAGO PFC200 vezérlőt, amely a webes adminisztrációs felületét alapértelmezett admin hitelesítő adatokkal tette elérhetővé. A későbbi SSH-tevékenység arra utal, hogy az SSH szolgáltatást feltehetően ezen a felületen keresztül kapcsolták be, az időbélyegek összevetése alapján pedig a CERT arra jutott, hogy a támadó nagy valószínűséggel a WAGO-n keresztül jutott be az erőmű OT hálózatába.

December 25-én a támadó sikeresen kapcsolódott három Siemens PLC-hez S7 protokollon keresztül. A CERT ezt nagy valószínűséggel a későbbi romboló lépések előtti felderítésnek tekinti.

December 29-én a támadó tevékenysége a kapcsolt hő- és erőmű hálózatában nagyjából 5:30-tól 10:10-ig tartott, az erőmű helyreállítása körülbelül 7:30-kor kezdődött. Az erőmű dolgozói szerint a Siemens S7-300, S7-1200 és S7-1500 vezérlőket STOP módba kapcsolták és jelszóval védték le, így leállt a turbina és a technológiai vízkezelő rendszer, megszakadt a kapcsolt hő- és villamosenergia-termelés.

Hét Moxa soros eszközszervert és három switchet is gyári alaphelyzetbe állítottak, megváltoztatták a jelszavukat, és elérhetetlen IP-címeket kaptak, például 127.0.0.1-et. A CERT szerint az időzítés alapján nagy bizonyossággal automatizált műveletekről volt szó. Mindez nem igényelt kártevőt, és a jelentés sem említ ilyet.

Minden romboló lépés támogatott eszközfunkciót használt, az erőműben amúgy is használt protokollokon keresztül meghívva.

A támadó ezután „felégette maga mögött a hidat”. A WAGO vezérlő partíciós táblája megsérült, nem tudott elindulni, és nem maradtak használható logok. Körülbelül 30 perccel az utolsó, az erőmű hálózatában észlelt tevékenység után a támadó gyári alaphelyzetbe állította a Teltonika routert, megváltoztatta az adminisztrátori jelszavát, és az elérhetetlen 127.0.0.1 címet adta neki, majd gyári alaphelyzetbe állította a FortiGate-et is, ami miatt annak logjai elvesztek.

A CERT szerint a 7.07 előtti RutOS verziók gyári alaphelyzet után is megőrizték az eseményadatbázist, ezért maradhattak meg az SSH-bejelentkezések naplói.

Az erőmű eleinte nem támadásként értelmezte a történteket. Karbantartás zajlott, ezért az üzemeltető a leállást valószínű kivitelezői hibaként rögzítette, és csak tájékoztatásként jelentette; a CERT viszont incidenst nyitott, mert már ismert hasonló eseteket. A belső felderítés december 18. és 25. között zajlott az erőmű hálózatában, ebbe beletartozott egy portszkennelés is, amely a SCADA rendszer címénél indult.

A jelentés nem nevez meg konkrét elkövetőt. A tágabb decemberi kampányról januárban négy külön elemzés született a lengyel kormánytól, a CERT Polska-tól, az ESET-től és a Dragos-tól. Mindegyik másra fókuszál: a kampány előkészítésére, az infrastruktúrájára, a többi célpont ellen bevetett wiper kártevőre, illetve az egész akció tágabb képére. Egyik sem foglalkozik ezzel a konkrét behatolással.

A privát APN-ek továbbra is szerepelnek a szövetségi ajánlásokban, mint az elszigetelés egyik lehetséges módja. A FBI és az EPA július 30-i közös figyelmeztetése az internetről elérhető, vízügyi PLC-k elleni támadásokról a privát APN-t is felsorolja azok között az elszigetelt architektúrák között, amelyeket az üzemeltetőknek érdemes megfontolniuk az OT berendezések mobilhálózaton keresztüli eléréséhez.