Polonia · infrastructură energetică · reconstrucție CERT Polska
Atacul a început la un FortiGate expus la internet, a trecut printr-un router celular și prin rețeaua mobilă privată a operatorului de distribuție, apoi a ajuns la un controller WAGO dintr-o centrală de cogenerare separată. Credențialele implicite ale controllerului au deschis tunelul spre sistemele industriale.
Traseul
Accesul dintr-un sistem a deschis următorul sistem care îl trata pe atacator ca pe un vecin legitim.
La substațiile compromise, FortiGate funcționa ca firewall și concentrator VPN. Interfața VPN era accesibilă de pe internet, conturile locale puteau fi folosite fără autentificare multifactor, iar atacatorul a ajuns să aibă privilegii administrative.
Routerul avea un port Ethernet în VLAN-ul controlat de FortiGate și o cartelă SIM în APN-ul privat al operatorului de distribuție. Interfața de administrare și SSH erau disponibile pe LAN. Atacatorul s-a autentificat și a folosit SSH pentru tunelare.
Începând cu 18 decembrie, atacatorul a scanat APN-ul privat după VNC, HTTP, S7 și Modbus. Configurația permitea comunicații între dispozitive arbitrare din același APN. Această regulă a transformat rețeaua "privată" într-un traseu lateral.
Scanarea a găsit un controller WAGO la centrala de cogenerare. Interfața web era accesibilă din APN, iar contul "admin" păstra credențialele implicite. Atacatorul a intrat în interfață, a activat SSH pe WAN și a construit încă un tunel spre rețeaua OT a centralei.
După recunoaștere, atacatorul s-a conectat la SCADA și la trei PLC-uri Siemens. Personalul centralei a relatat că PLC-urile au fost trecute în STOP și protejate cu parolă. Turbina cu abur și instalația de tratare a apei s-au oprit, întrerupând cogenerarea.
Activează un control. Diagrama arată primul pas din traseul CERT pe care controlul l-ar fi putut bloca.
Modelul arată cum un control ar fi putut opri traseul observat. El nu estimează toate căile alternative pe care le-ar putea găsi un adversar.
Cronologie
Între primul scan și acțiunea distructivă, accesul a fost folosit pentru recunoaștere, testarea serviciilor și identificarea controllerelor.
Încep scanări repetate după VNC, HTTP, S7 și Modbus; WAGO este identificat și accesat.
Atacatorul scanează segmente interne după protocoale industriale și servicii de acces la distanță.
Sunt observate conexiuni spre două hosturi cu servicii de remote desktop; nu există dovadă de login reușit.
Sunt stabilite conexiuni S7 reușite spre trei PLC-uri, probabil pentru recunoaștere înaintea sabotajului.
Activitatea în rețeaua centralei durează aproximativ de la 05:30 la 10:10. În jur de 07:00, cogenerarea este întreruptă. Recuperarea începe cât atacatorul încă se află în rețea.
Turbina cu abur și sistemul de tratare a apei pentru proces. PLC-urile Siemens au fost trecute în STOP și protejate cu parolă, potrivit personalului centralei.
Căldura și electricitatea către clienți. Operatorii au resetat PLC-urile afectate și au încărcat logica din backup suficient de repede încât întreruperea instalației să rămână scurtă.
Investigația
Centrala era în lucrări. Personalul a presupus inițial că oprirea fusese provocată de inginerii contractorului. CERT știa însă că, în aceeași zi, alte instalații energetice fuseseră atacate și a pornit de la efectul fizic spre sursa lui.
Oprirea procesului a fost raportată inițial ca incident operațional. Pentru că în aceeași zi avuseseră loc alte incidente, CERT a investigat-o ca posibil atac.
WAGO-ul folosit ca poartă avea tabela de partiții coruptă. Examinarea de laborator nu a recuperat loguri utile.
Din Teltonika a fost recuperată o bază SQLite cu evenimente. Operatorul mobil a furnizat loguri din APN, iar centrala avea propriile artefacte de rețea.
Corelarea activității dintre APN și rețeaua centralei a permis reconstruirea tunelurilor și a traseului. Investigația a pornit de la dispozitivul afectat și a urmărit conexiunile înapoi.
După atac
Ultimele acțiuni observate au vizat chiar dispozitivele care puteau păstra urmele drumului parcurs.
Tabela de partiții a controllerului-gateway a fost coruptă, iar dispozitivul nu a mai putut porni. Resetarea făcută ulterior de operator nu a reparat partiția.
Routerul celular a fost resetat, parola de administrator schimbată și IP-ul setat la 127.0.0.1. FortiGate a fost apoi resetat la setările din fabrică, ceea ce a șters logurile locale. O particularitate a unei versiuni vechi RutOS a permis totuși recuperarea evenimentelor Teltonika.
Achiziție Vodafone descrisă explicit ca "Soluție securizată APN Privat (SCADA M2M)" pentru o conexiune VPN.
Vezi achizițiaServicii pentru funcționarea SCADA: 233 de SIM-uri și cinci cartele M2M cu IP fix și APN privat, printre alte conexiuni.
Vezi achizițiaSCADA pentru trei substații de redresare. Documentația include administrarea a patru conexiuni M2M prin APN-ul privat al CTP Iași.
Vezi achizițiaContract pentru "DATE MOBILE GPRS - M2M - Serviciul IP-VPN - APN PRIVAT", folosit la telegestiunea contoarelor de energie.
Vezi achizițiaPentru operatori de utilități, infrastructură și autoritățile care îi supraveghează.
Atribuire
În raportul din ianuarie despre campania mai largă din 29 decembrie, CERT Polska a găsit o suprapunere semnificativă între infrastructura folosită în atac și infrastructura asociată public clusterului Static Tundra, Berserk Bear, Ghost Blizzard sau Dragonfly. A găsit și asemănări generale cu tehnici și malware asociate Sandworm, dar a spus explicit că acestea nu stabilesc participarea acelui cluster.
Raportul din august reconstruiește ruta prin APN și efectele industriale. Atribuirea rămâne separată, deoarece sursele susțin mecanismul tehnic mai bine decât identitatea actorului.
Surse și proveniență
Raportul forensic al CERT Polska susține traseul și efectele industriale. Presa secundară oferă context. Achizițiile românești arată că APN/M2M este folosit în sisteme operaționale.
Sursa primară pentru centrala care furniza căldură pentru 50.000 de locuitori, traseul FortiGate, Teltonika, APN, WAGO și OT, cronologie, efectele asupra PLC-urilor, acțiunile anti-forensics și recomandările pentru APN-uri private.
Contextul campaniei mai largi și baza pentru formularea prudentă a atribuirii.
Acoperire independentă a noutății APN-ului privat. Traseul tehnic rămâne bazat pe raportul CERT.
Dovadă publică a achiziției unei soluții APN privat "SCADA M2M".
Dovadă publică pentru SIM-uri SCADA și cartele M2M cu IP fix și APN privat.
Dovadă publică pentru conexiuni M2M administrate prin APN privat într-un sistem SCADA pentru substații.
Dovadă publică pentru GPRS/M2M, IP-VPN și APN privat folosite la telegestiunea contoarelor de energie.