Aanvallers hebben een stoomturbine en het proceswaterbehandelingssysteem van een Poolse warmtekrachtcentrale uitgeschakeld door binnen te komen via het particuliere mobiele netwerk dat de lokale netbeheerder gebruikt om externe apparatuur te bereiken.
De centrale levert warmte aan ongeveer 50.000 inwoners. Het herstel begon omstreeks 07.30 uur, terwijl de indringers nog steeds actief waren binnen het netwerk en klanten geen warmte of elektriciteit verloren.
CERT Polska maakte het incident van december 2025 op 8 augustus bekend na een onderzoek van meer dan drie maanden. De Poolse premier had in januari gezegd dat twee WKK-centrales waren getroffen. Dit is de tweede.
De route liep via een privé-APN, of toegangspuntnaam: een speciaal mobiel datanetwerk beheerd door de distributiesysteembeheerder. Een configuratie waardoor willekeurige apparaten op die APN met elkaar konden communiceren, liet de aanvaller van een gecompromitteerd windparknetwerk naar een controller in de WKK-installatie draaien.
CERT zegt dat het bereiken van een industrieel controlenetwerk via een particuliere APN, voor zover zij weet, “de eerste keer was dat deze aanvalsvector werd waargenomen in een echte cyberaanval.” Het windpark en de centrale zijn afzonderlijke faciliteiten, en geen van beiden beheert het netwerk dat hen met elkaar verbond.
Het rapport vermeldt geen CVE als oorzaak van de inbraak, en onderzoekers konden niet vaststellen of er misbruik was gemaakt van een kwetsbaarheid in de Teltonika-router, dus er is geen enkele softwarepatch die moet worden toegepast.
De WAGO-controller die via de APN bereikbaar was, had nog steeds standaard beheerdersreferenties, terwijl de privé-APN client-naar-client-verkeer toestond. De eerste aanbeveling van CERT is om de privé-APN-configuratie te controleren en clientisolatie in te schakelen.
Het adviseert ook om de APN vanuit de operationele technologie (OT)-kant als niet-vertrouwd te behandelen, het verkeer te segmenteren en te beperken, onnodige beheerservices uit APN-bereikbare interfaces te verwijderen en de standaardreferenties te wijzigen.
CERT zegt dat uit onderzoeken is gebleken dat Poolse organisaties met privé-APN’s doorgaans elk apparaat op het netwerk elk ander apparaat laten bereiken. Het is van mening dat soortgelijke configuraties op grote schaal in andere landen worden ingezet. De SSH-service van de router, de webinterface van de controller en de toegestane APN werkten allemaal zoals geconfigureerd.
Het aanvalspad begon bij een windpark, waar een FortiGate-apparaat zowel als firewall als VPN-concentrator diende. De VPN was blootgesteld aan internet en stond accounts toe zonder multi-factor authenticatie. De aanvaller had beheerdersrechten op het apparaat en gebruikte deze waarschijnlijk om VPN-referenties te verkrijgen die alle netwerksegmenten konden bereiken.
De distributiebeheerder vereiste dat de communicatie met de externe terminal van het onderstation via het seriële DNP3.0-protocol zou verlopen, en aan die vereiste werd voldaan. Maar er waren geen gelijkwaardige vereisten voor de beheerinterface van de mobiele router, die zich op een tweede interface bevond: een Ethernet-poort die was aangesloten op een VLAN achter de gecompromitteerde firewall.
Het windpark voldeed aan de DNP3.0-vereiste die het had gekregen en leverde nog steeds de route. Die vereiste bepaalde hoe de gegevens werden verzonden, niet hoe het apparaat dat de gegevens droeg, werd beheerd.
De router was een Teltonika RUTX50 waarvan het standaardwachtwoord tijdens de implementatie was gewijzigd. Onderzoekers hebben herhaalde succesvolle SSH-aanmeldingen hersteld, maar konden niet vaststellen hoe de aanvaller aan dat wachtwoord kwam.
Vanaf 11 augustus heeft The Hacker News de gepubliceerde kwetsbaarheden in de eigen firmware van de router beoordeeld en geen enkele gevonden die een niet-geverifieerde aanvaller zijn wachtwoord zou overhandigen. De twee fouten uit de RUT-serie in CISA’s Teltonika-advies uit 2023, CVE-2023-32349 en CVE-2023-32350, vereisen beide bestaande rechten op het apparaat, en de modemfouten van de RUTX50 veroorzaken alleen denial-of-service. Een niet-gepubliceerde fout is niet uitgesloten.
Logboeken van mobiele operators brachten CERT tot de conclusie dat de aanvaller hoogstwaarschijnlijk SSH-tunneling via de router gebruikte om de privé-APN te bereiken. Vanaf 18 december scande de aanvaller de APN en vond een WAGO PFC200-controller die de webbeheerinterface blootlegde met standaard beheerdersreferenties. Daaropvolgende SSH-activiteit suggereert dat de service waarschijnlijk via die interface mogelijk was, en tijdstempelcorrelatie bracht CERT ertoe te beoordelen dat de aanvaller hoogstwaarschijnlijk via de WAGO een tunnel naar het OT-netwerk van de fabriek had getunneld.
Op 25 december maakte de aanvaller met succes verbinding met drie Siemens PLC’s via het S7-protocol, een activiteit die volgens CERT hoogstwaarschijnlijk een verkenning was van de latere destructieve acties.
Op 29 december liepen de aanvallers binnen het WKK-netwerk van ongeveer 5.30 uur tot ongeveer 10.10 uur, waarbij het herstel van de installatie begon om ongeveer 7.30 uur. Volgens fabriekspersoneel werden de Siemens S7-300, S7-1200 en S7-1500-controllers overgeschakeld naar de STOP-modus en beveiligd met een wachtwoord, waardoor de turbine en het proceswaterbehandelingssysteem werden uitgeschakeld en de warmtekrachtkoppeling werd onderbroken.
Zeven seriële Moxa-apparaatservers en drie switches werden ook naar de fabrieksinstellingen gereset, met gewijzigde wachtwoorden en toegewezen onbereikbare IP-adressen zoals 127.0.0.1. CERT zegt dat de timing met een hoge mate van vertrouwen aangeeft dat deze acties geautomatiseerd waren. Niets ervan vereiste malware, en het rapport beschrijft er ook geen.
Bij elke destructieve stap werd een ondersteunde apparaatfunctie gebruikt, die werd aangeroepen via de protocollen waarop de fabriek draait.
De aanvaller beschadigde vervolgens de toegang. De partitietabel van de WAGO-controller was beschadigd, waardoor deze niet meer kon opstarten en er geen bruikbare logboeken werden opgeleverd. Ongeveer 30 minuten na de laatste waargenomen activiteit in de WKK-centrale heeft de aanvaller de Teltonika-router teruggezet naar de fabrieksinstellingen, het beheerderswachtwoord gewijzigd en het onbereikbare adres 127.0.0.1 toegewezen, waarna de FortiGate opnieuw is ingesteld op de fabrieksinstellingen, waardoor de logbestanden verloren zijn gegaan.
CERT zegt dat RutOS-versies ouder dan 7.07 hun gebeurtenisdatabase behouden na een fabrieksreset, wat de reden is dat de SSH-inloggegevens bewaard zijn gebleven.
De plant interpreteerde het aanvankelijk niet als een aanval. Er was onderhoud gaande, dus de operator registreerde de onderbreking als een waarschijnlijke fout van de aannemer en rapporteerde dit uitsluitend ter informatie; CERT opende een incident omdat het al op de hoogte was van soortgelijke gebeurtenissen. Van 18 tot 25 december hadden verkenningen binnen het netwerk van de fabriek plaatsgevonden, inclusief een poortscan die begon op het adres van het SCADA-systeem.
Er is geen acteur genoemd naar dit incident. De bredere decembercampagne leverde in januari vier afzonderlijke beoordelingen op van de Poolse regering, CERT Polska, ESET en Dragos. Elke campagne heeft een andere reikwijdte, wat betreft de voorbereiding van de campagne, de infrastructuur, de wiper-malware die tegen andere doelwitten wordt gebruikt, en de bredere vorm ervan. Geen van hen pakt deze inbreuk aan.
Privé-APN’s verschijnen nog steeds in federale richtlijnen als een isolatieoptie. In een advies van de FBI en de EPA van 30 juli over aanvallen op op internet gerichte PLC’s uit de watersector wordt een privé-APN genoemd als een van de geïsoleerde architecturen die operators zouden moeten overwegen om OT-apparatuur via mobiele verbindingen te bereiken.
