Uns atacants van aturar una turbina de vapor i el procés del sistema de tractament d’aigües en una central cogenerativa polonesa accedint a través de la xarxa mòbil privada que l’operador de la xarxa local fa servir per accedir a equips remots.

La planta subministra calor a uns 50.000 residents. La recuperació va començar cap a les 7:30 del matí mentre els intrusos encara eren actius dins de la xarxa i els clients no van perdre ni calefacció ni electricitat.

El 8 d’agost el CERT Polònia va revelar l’incident del desembre de 2025, després d’una investigació que va durar més de tres mesos. El primer ministre de Polònia havia dit al gener que dues plantes de cogeneració havien estat afectades. Aquesta és la segona.

La ruta passava per un APN privat, o nom de punt d’accés: una xarxa de dades mòbil dedicada gestionada per l’operador del sistema de distribució. Una configuració que permetia que dispositius arbitraris d’aquest APN es comuniquessin entre si també permetia que un atacant passés d’una xarxa de parcs eòlics compromesa a un controlador de la planta de cogeneració.

El CERT diu que arribar a una xarxa de control industrial a través d’un APN privat va ser, pel que sap, «el primer cas d’aquest vector d’atac observat en un ciberatac del món real.» El parc eòlic i la planta són instal·lacions separades i cap dels dos gestiona la xarxa que les enllaçava.

L’informe no estableix un CVE com a causa de la intrusió, i els investigadors no van poder determinar si s’havia explotat una vulnerabilitat a l’encaminador Teltonika, per la qual cosa no hi ha cap pedaç de programari únic per aplicar.

El controlador WAGO accessible a través de l’APN encara tenia credencials d’administrador predeterminades, mentre que l’APN privat permetia el trànsit de client a client. La primera recomanació del CERT és auditar la configuració de l’APN privada i activar l’aïllament del client.

També recomana tractar l’APN com a no fiable des del costat de la tecnologia operativa (OT), segmentar i restringir el trànsit, eliminar els serveis de gestió innecessaris de les interfícies accessibles per APN i canviar les credencials predeterminades.

El CERT afirma que les seves investigacions van descobrir que les organitzacions poloneses que utilitzen APN privat solen permetre que qualsevol dispositiu de la xarxa arribi a qualsevol altre. Creu que configuracions similars s’implementen àmpliament en altres països. El servei SSH de l’encaminador, la interfície web del controlador i l’APN permissiu funcionaven tal com estaven configurats.

La ruta d’atac va començar en un parc eòlic, on un dispositiu FortiGate servia com a tallafocs i concentrador de VPN. La seva VPN estava exposada a Internet i permetia comptes sense autenticació multifactor. L’atacant tenia privilegis administratius al dispositiu i probablement els utilitzava per obtenir credencials de VPN que podien arribar a tots els segments de la xarxa.

L’operador de distribució requeria que les comunicacions amb la unitat terminal remota de la subestació s’executessin a través del protocol sèrie DNP3.0, i aquest requisit es va complir. Però cap requisit equivalent cobria la interfície de gestió de l’encaminador mòbil, que es trobava en una segona interfície, un port Ethernet connectat a una VLAN darrere del tallafocs compromès.

El parc eòlic complia el requisit DNP3.0 que se li havia atorgat i, així i tot, subministrava la ruta d’entrada. Aquest requisit dirigia la manera com viatjaven les dades, no com s’administrava el dispositiu que les transportava.

L’encaminador era un Teltonika RUTX50 la contrasenya predeterminada del qual havia estat canviada durant el desplegament. Els investigadors van recuperar inicis repetits de sessió SSH reeixits, però no van poder establir de quina manera l’atacant havia aconseguit aquesta contrasenya.

L’11 d’agost, The Hacker News va revisar les vulnerabilitats publicades al microprogramari del mateix encaminador i no en va trobar cap que pogués donar la contrasenya a un atacant no autenticat. Els dos defectes de la sèrie RUT a l’Avís de CISA sobre Teltonika del 2023, CVE-2023-32349 i CVE-2023-32350, tots dos requereixen privilegis existents al dispositiu, i els defectes del mòdem del RUTX50 només causen denegació de servei. No es descarta una fallada no publicada.

Els registres de l’operador mòbil van fer que el CERT pensés que l’atacant probablement havia utilitzat un túnel SSH a través de l’encaminador per arribar a l’APN privat. A partir del 18 de desembre, l’atacant va escanejar l’APN i va trobar un controlador WAGO PFC200 que exposava la seva interfície d’administració web amb credencials d’administrador predeterminades. L’activitat SSH posterior suggereix que el servei probablement estava habilitat a través d’aquesta interfície, i la correlació de marques de temps va fer que el CERT establís que l’atacant probablement va fer un túnel a través del WAGO fins a la xarxa OT de la planta.

El 25 de desembre, l’atacant es va connectar amb èxit a tres PLC de Siemens a través del protocol S7, una activitat que el CERT considera que probablement va ser de reconeixement per a les accions destructives posteriors.

El 29 de desembre, l’activitat dels atacants dins de la xarxa de cogeneració va durar des de les 5:30 del matí fins a les 10:10 del matí aproximadament, i la recuperació de la planta va començar cap a les 7:30 del matí. Segons el personal de la planta, els controladors Siemens S7-300, S7-1200 i S7-1500 es van canviar al mode STOP i es van protegir amb contrasenya, cosa que va aturar la turbina i el procés del sistema de tractament d’aigua i va interrompre la cogeneració.

Set servidors de dispositius sèrie Moxa i tres commutadors també es van restablir a les configuracions de fàbrica, se’ls van canviar les contrasenyes i se’ls van assignar adreces IP inaccessibles com ara 127.0.0.1. El CERT diu que el moment indica amb un alt grau de confiança que aquestes accions es van automatitzar. Cap d’elles requeria programari maliciós, i l’informe no en descriu cap.

Cada pas destructiu utilitzava una funció de dispositiu compatible, invocada a través dels protocols amb què s’executa la planta.

L’atacant va fer malbé el camí d’entrada. La taula de particions del controlador WAGO es va corrompre, cosa que li va impedir arrencar i no va generar registres útils. Uns 30 minuts després de l’última activitat observada a la planta de cogeneració, l’atacant va restablir de fàbrica l’encaminador Teltonika, va canviar la seva contrasenya d’administrador i li va assignar l’adreça inaccessible 127.0.0.1, i després va restablir de fàbrica el FortiGate, cosa que va provocar la pèrdua dels seus registres.

El CERT diu que les versions de RutOS anteriors a la 7.07 van conservar la seva base de dades d’esdeveniments després d’un restabliment de fàbrica, motiu pel qual els registres d’inici de sessió SSH van sobreviure.

Inicialment, la planta no ho va interpretar com un atac. El manteniment estava en curs, de manera que l’operador va registrar la interrupció com a error probable del contractista i la va informar només a títol informatiu; el CERT va obrir un incident perquè ja coneixia esdeveniments similars. El reconeixement dins de la xarxa de la planta s’havia dut a terme del 18 al 25 de desembre, incloent-hi un escaneig de ports que va començar a l’adreça del sistema SCADA.

No s’ha identificat cap actor relacionat amb aquest incident. La campanya més àmplia de desembre va obtenir quatre avaluacions separades al gener, del govern polonès, del CERT Polònia, ESET, i Dragos. Cadascun té un abast diferent, segons la preparació de la campanya, la seva infraestructura, el programari maliciós utilitzat contra els altres objectius i la seva forma més àmplia. Cap d’ells aborda aquesta intrusió.

Els APN privats encara apareixen a les directrius federals com una opció d’aïllament. El 30 de juliol, un avís de l’FBI i l’EPA sobre els atacs contra PLC del sector de l’aigua amb connexió a Internet enumera un APN privat entre les arquitectures aïllades que els operadors haurien de considerar per arribar a equips OT a través d’enllaços mòbils.