Pożegnanie lata z sekurakiem. Tniemy ceny do 70%
NOWOŚĆ! Szkolenie AI w pracy admina
Konferencja Mega Sekurak Hacking Party w Krakowie – 26-27 października!
Skuteczny atak na elektrociepłownię w Polsce. W wyniku incydentu bezpieczeństwa doszło do zatrzymania turbiny parowej
CERT Polska opublikował właśnie znaczne uzupełnienie opisu incydentu, który relacjonowaliśmy w styczniu.
Wg najnowszej relacji:
1. Atak na elektrociepłownię rozpoczął się od cyberataku na farmę fotowoltaiczną, a dokładniej przejęto urządzenie Fortigate z interface VPN wystawionym do Internetu. Jak dodaje CERT Polska:
interfejs VPN był dostępny z sieci internet i umożliwiał logowanie na zdefiniowane w konfiguracji konta bez wieloskładnikowego uwierzytelniania.
2. W obiekcie dodatkowo znajdował się router komórkowy (Teltonika RUTX50 z kartą SIM), posiadający skonfigurowaną prywatną sieć APN (czyli niedostępną z Internetu), służącą do komunikacji pomiędzy urządzeniami przemysłowymi. Router poza interface komórkowym posiadał również interface ethernetowy dostępny z urządzenia Fortigate.
3. Techniczni czytelnicy sekuraka już pewnie widzą, gdzie to zmierza. Atakujący z poziomu Internetu przejęli urządzenie Fortigate, następnie zlokalizowali w tej sieci router komórkowy. W kolejnym kroku wykorzystali podatność w interface HTTP lub SSH routera (lub zgadli hasło) i dostali się do prywatnej sieci APN. CERT kwituje ten krok następująco:
(…) atakujący w grudniu wielokrotnie logował się do routera z wykorzystaniem protokołu SSH
Źródło diagramu: CERT PL
4. Co można było zrobić, mając dostęp do tego APN? Atakujący tego nie wiedzieli, ale zrobili rekonesans dostępnych urządzeń / usług. W szczególności zlokalizowali sterownik Wago PFC200:
Sterownik ten posiadał panel administracyjny WWW (…) i wykorzystywał domyślne poświadczenia dla konta admin (…) Sterownik WAGO posiadał dostęp zarówno do systemów SCADA, jak i do segmentów sieci z urządzeniami przemysłowymi odpowiedzialnymi za sterowanie kluczowymi procesami technologicznymi.
5. Ale na razie poruszaliśmy się w ramach systemów farmy fotowoltaicznej, jednak elektrociepłownia była wpięta do tego samego APN (prywatna sieć w ramach sieci komórkowej), co farmy fotowoltaiczne.
6. Jesteśmy więc w momencie, kiedy atakujący rozpoczęli z przejętego sterownika ataki na elektrociepłownię.
7. Finalna faza ataku wyglądała tak:
Pierwszą czynnością atakującego w sieci elektrociepłowni po zestawieniu tunelu poprzez sterownik WAGO było nawiązanie połączenia z panelem WWW serwera SCADA, a po chwili ze sterownikiem Siemens S7-300 po protokole S7. Te same czynności powtórzono z kolejnymi sterownikami – S7-1200 oraz S7-1500.
Według relacji pracowników elektrociepłowni sterowniki zostały przełączone w tryb STOP i zabezpieczone hasłem, które uniemożliwiało zmianę ich trybu pracy oraz modyfikację oprogramowania.
W rezultacie doszło do zatrzymania turbiny parowej i stacji uzdatniania wody do celów technicznych, co doprowadziło do przerwania procesu kogeneracji.
8. Na szczęście pracownicy elektrociepłowni zareagowali szybko (ale przy okazji usunęli logi, które mogłyby umożliwić jeszcze dokładniejszą analizę incydentu):
W ramach czynności mających na celu przywrócenie sprawności obsługa przywróciła urządzenia do stanu fabrycznego i wgrała posiadane kopie oprogramowania. To działanie pozwoliło na skrócenie czasu awarii, ale doprowadziło również do usunięcia logów ze sterowników.
CERT publikuje szereg rekomendacji dla tego typu obiektów, natomiast z naszej strony:
- admin/admin to nie jest zbyt dobra konfiguracja dla urządzeń, nawet jeśli znajdują się one wewnątrz sieci
- warto wgrywać poprawki bezpieczeństwa na urządzenia sieciowe, nawet jeśli znajdują się one wewnątrz sieci
- VPN (oraz inne kluczowe usługi) – tylko z logowaniem dwuskładnikowym (2FA)
PS
Jeśli chodzi o farmę fotowoltaiczną zaatakowany został tzw. GPO (Główny Punkt Odbioru), czyli obiekt zbierający cały prąd z farmy i wysyłający go dalej do sieci.
~Michał Sajdak
Fajnie się pisze: ” (ale przy okazji usunęli logi, które mogłyby umożliwić jeszcze dokładniejszą analizę incydentu)”
Bardzo chciałbym się dowiedzieć jak pracownicy mieli “zabezpieczyć” logi z urządzeń automatyki OT, które atakujący przełączyli w tryb stop i zablokowali hasłem. – znacie takie szkolenia dla urządzeń automatyki OT eksploatowanej 15-30 lat?
W świecie OT przerwanie procesu technologicznego możne grozić poważnym uszkodzeniem urządzeń technologicznych – często priorytetem jest jak najszybsze przywrócenie ich do pracy bo ich odbudowa po awarii może potrwać miesiące albo lata.
Część producentów pytana o możliwość i koszty aktualizacji – “może to zlecić ale na 20% urządzeń tego samego typu może się nie udać i wtedy musicie kopic nowe” dla ułatwienia dodam, że nie są to rzeczy które leżą na półce w markecie i trzeba czekać miesiącami i płacić grube euro.
Co do aktualizacji firmware na urządzeniach automatyki OT – to nawet drobna zmiana wersji i zdarza się, że system budowany latami przestaje działać i jest czasochłonny przestój i ponownie trzeba wrócić do starej wersji o ile to możliwe.
Co do zmiany haseł – to w świecie OT gdzie systemy budowane latami prze kilku integratorów a urządzenia pracują 24h na dobę czas na manewry jest wysoce ograniczony. Tak zmiana haseł może doprowadzić do sytuacji, że cały system przestaje działać bo np integrator który już nie istnieje, zaszył logowanie do usług w swoim zamkniętym programie.
Logi w zamkniętych urządzeniach OT – nawet jeśli je uzyskamy to ich zawartość może rozczarować wielu analizujących atak.
Na części urządzeń OT cały system siedzi w karce – i tu przy incydencie można próbować zabezpieczyć kartę i włożyć nową zapasową. Tylko kto ma budżet na specjalistyczne karty przemysłowe do znacznej ilości PLC.
Czy będą kiedyś szkolenia dla rzeczywistych realnych problemów świata automatyki OT a nie IT?
Sorry, ale wiele systemów IT w tym chmury też jest budowlanych latami przez kilku full stackow, to że jakieś działy “programowania” szlaczkowego nie są w stanie podążać profesjonalnym podejściem oznacza, że powinny być usunięte, bo wybacz, ale KAZDY ma obowiązek się rozwijać i MUSI dostosować się do zmieniającego się zakresu. Jeżeli nie są s stanie tego robić, trzeba się ich jak najszybciej pozbyć. Jakokolwiek forma embedded nie powinna zajmować lat, to już nie te czasy, że można z czymś się bawić latami i na spokojnie, szczególnie, że są to zadania niskopoziomowe, więc bez memow.
Masz rację Pigeon, wszystko da się naprawić i wdrożyć, ale “najbliższe okno serwisowe masz w 2029, bo będzie remont turbiny, przygotuj się”.
Gołąbeczku! Przemawia przez Ciebie młodzieńczy idealizm, zaś przez Marka – doświadczenie.
@Pigeon
Mam do czynienia i z IT i z OT. Nie da się przenieść doświadczeń z IT do OT bezpośrednio, ponieważ koszt zmian jest w OT znacznie większy przez specjalistyczny sprzęt. Trzeba utrzymywać niektóre rozwiązania w starych wersjach i tworzyć do nich obejścia umożliwiające obsługę w nowych środowiskach – czasem jest to utrzymywanie izolowanego starego środowiska dla np jednej maszyny, które trzeba bezpiecznie połączyć z nowoczesnym środowiskiem IT. To co zadziała dla sprzętu jednej firmy niekoniecznie zadziała dla innej. Mnóstwo inżynierii odwrotnej i śledztw jak coś starego co działa, działa, co można bezkarnie zmodernizować, co niestety trzeba zostawić. Niestandardowe rozwiązania itp itd. Różne produkty od dużych vendorów, obietnice że cudownie rozwiążą security mieszanych systemów – generalnie nie pokrywają wszystkich przypadków które możesz spotkać. A linia produkcyjna / turbina elektryczna / sterownia wodociągów musi ciągle działać! Nie wyłączysz sobie np elektrowni na miesiąc, żeby wszystko zmodernizować i przetestować. I serio dobre szkolenia, a może wręcz warsztaty, niepubliczne miejsca wymiany myśli, byłyby wielce pożądane.
Mam w firmie kontakt z instalatorami OT, CCTV. Konieczność nauczenia się czegoś sprawia im straszny ból. Wszędzie by chcieli mieć jeden vlan na pół miasta, wszytko na 192.168.200.x i oczywiście admin/admin. W dodatku posługują się językiem zupełnie odmiennym niż IT. Np. weź mi przestaw port na switchu w budynku “” znana tylko praecwnikom tej lokalizacji, choć switch ma swoją nazwę na nalepce, na 17-tkę. Ta tajemnicza 17-tka to vlan z adresacją x.y.17.z/24 (tylko że switch) jest L2 i nic nie wie o adresach. Gdyby nie netbox to byśmy się nie dogadali.
Niestety to nie świat IT
nie mailem okazji pracować przy takiej skali, jakieś mniejsze wyzwania przy drukarkach offsetowych czy automatyce dla ciężkich maszyn. Ale wiem jedno, nie zmienisz nieraz nic bo jeden z komponentów, nie mam patchy które poprawnie współpracują z innymi komponentami. I zamknięte koło.
Miałem przypadek jakieś maszyny przerabiającej złom z Niemiec. Oprogramowanie diagnostyczne kosztuje kilka set tys. euro. I nikt u producenta nie wie jak zainstalować to na windows 7. Żadna emulacja nie pomaga, a kabla nie produkują juz od 25lat. A to jest najbardziej błahy problem do obejścia. Bo jak sie zalogowali do sterownika, to umiał w nim pogrzebać jakiś dziadek z politbudy po 70. I nie mówimy tu o sprzęcie firmy krzak, tylko o kolosach typu simiens/abb/aeg/schneider.
Chciał bym jak byś z takim podejściem poszedł porozmawiać z kimś od utrzymania ciągłości produkcji, prowadzoną z założeniem: „jak nie potraficie nadążać, to trzeba was wymienić”. Kazdy zna ryzyko, ale koszty zmiany są tak duze ze zarzad nie klepnie zmian. Problem polega na tym, że alternatywą dla starego, działającego systemu może być wielomiesięczny przestój, przebudowa fragmentu zakładu za miliony euro albo wymiana urządzeń, których termin dostawy wynosi kilkanaście miesięcy.
A pozatym stary sprzet pochodzi jeszcze z 20-30lat, a nowemu bedzie trzeba co chwila coś flshować, placic abbonament itd :P
eeee? W 1997, przy okazji instalacji na stacji uzdatniania (demi) wody w jednej z elektrocieplowni w Polsce byl instalowany system WDPF II firmy Westinghouse (z pelnymi szykanami). O ile pamietam to talalo to pod Sun Solaris.
Historian (ktory zbieral nie tylko dane z dropow, ale i z urzadzen sieciowych), to byla osobna stacja, osobny storage z dodatkowym backupem?
A to, ze “tniemy koszty, wita rozumita: pisiont dla Czlonokow z Zarzadu, pisiont dla Kuzynki Edyty, a system to niech ten Turas za czydziesci robi” i czasem obecnie nie tylko historiana albo ni mo albo siedzi na tym samymv- to insza inszosc.
Jak sterownik S7 zostaje zabezpieczony hasłem, to nie ma dostępu także do jego diagnostyki i logów bez podania hasła, także tekst tym bardziej nie na miejscu.
Pracownik został zwolniony, kasy mu nie dali, powiedzieli wy… No to on szybko wy…szedł i sekurak ma scenariusz na horror
Czy Fortigate miał aktualny firmware? Po jakim protokole działał VPN – nie był to SSL?
Tak
domyślne hasła w OT – klasyczek :)
jakby się odrobinę postarali to wprowadzili by mikro segmentację i ograniczyliby powierzchnię ataku
no ale przecież mamy prywatny APN – jesteśmy bezpieczni
a to takie same zabezpieczenie jak “mam NAT więc mam firewalla”
Nie było hasła admin/admin.
Blisko, bo admin/wago
Za “admin/admin” w systemach pracujących w tego rodzaju przedsiębiorstwach oraz urzędach administracji państwowej i samorządowej prawo powinno w końcu zacząć nakazywać natychmiastowe osadzenie administratora w areszcie i wyrok w widełkach jak za zbrodnię, nie występek. Skoro nakazy i zdrowy rozsądek nie działają, niech zadziała strach.
Chcesz zamykać za hasło admin/admin? Przecież każdy hacker wie że łamanie zabezpieczeń jest złe i że nie wolno mu tego robić.
Coś mi się nie klei. Byłem podczas ataku w pracy i żadna turbina nie została wyłączona. Nie ogrzewamy 500 tyś mieszkańców, więc ta druga to ta w której pracuję, no chyba że była jeszcze trzecia..
Skad wiesz, ze byl atak, jesli nic sie nie wylaczylo? Moze to jednak nie u Ciebie?
Wiem że był atak, bo to informacja oficjalna w firmie i zostały wdrożone różne procedury, żeby się bronić przed atakami. Wiele komputerów zostało “zablokowanych”, praktycznie nie dało się ich używać. Atak był 29.12.2025 i nie w każdej znajduje się farma fotowoltaiczna i turbina parowa razem. Oczywiście może była jeszcze inna elektrociepłownia ale tu sporo pasuje.
Fortinet powinien byc wykluczony tak samo jak Huawei.
bojówka palo alto
Ważne że jest nowocześnie, zachodnio i europejsko. Kto przeciw podłączaniu wszystkiego jak leci i cyfryzacji każdego możliwego dokumentu zawierającego dane wrażliwe ten kacap, zaprzaniec, zacofaniec i pewnie jeszcze na dodatek ze wsi.
No i warto zapisywać logi na osobnym serwerze aby przywracanie urządzenia do ustawień fabrycznych nie wymazało logów.
Szkoda, że nie napisaliście jak atakujący dostali się do fortigate bo to była pierwotna przyczyna ataku. Czy wykorzystali podatności, których w fortigate nie brakuje? Czy błędy w konfiguracji?
Przecież na samym początku newsa nie mówiąc o analizie cert napisali 😉
Zobacz poprzedni raport:
“Urządzenie było w przeszłości podatne, a jego konfiguracja została wykradziona i opublikowana m.in. w jednym z postów na forum internetowym wykorzystywanym przez środowiska przestępcze. Po uzyskaniu dostępu do urządzenia, atakujący wprowadził zmiany mające na celu zachowanie dostępu do niego po zmianie haseł użytkowników.”
W takich topologiach trzeba przynajmniej zadbać o ochronę brzegu i odpowiednią segmentację sieci. Nie ma większego znaczenia czy był tam FortiGate, Sophos, Palo Alto czy coś innego. Wszystko wskazuje bardziej na zaniedbania w administracji urządzeniami niż problem z konkretnym producentem.
Atak nie był typu zero-day, więc producent tutaj raczej nie ma większego znaczenia. FortiGate akurat na naszym rynku jest chyba jednym z popularniejszych rozwiązań i niestety wiele takich urządzeń bywa po prostu źle administrowanych.
Obawiam się że nie było tam adminstratora. Firma wdrożyła i tak było.
Dokladnie tak.
Przestarzale i nie rozwijane urzadzenia beda zawsze a w automatyce to juz gwarantowane.
Musza byc nalezycie separowane aby ograniczac eskalacje problemow a rownoczesnie umozliwiac im normalna prace.
Wiele takich urzadzen dziala sprawniej gdy ma uregulowane otoczenie.
Sterowniki, regulatory nie wymagaja dostepu rozleglych zasobow sieci.
Przemyslana organizacja sieci, monitorowanie aktywnosci oraz alarmy. Bardzo duzo nie potrzeba.
Osobiscie problem widze rowniez w komentarzach pod artykulem.
Dopiero na koncu pojawil sie glos rozsadku.
Brakuje jeszcze nadmiarowosci, bo owszem mozna uzywac rozwiazn “retro” ale nalezy liczyc sie z tym ze penetracja to tylko
element ukladanki ewentualnych problemow.
Usterka elektroniki jest jeszcze gorsza.
Trudno bedzie odtworzyc backup (chwala ze byl) na innym/nowym hardware.
Gdy mamy zapasowa sztuke to uszkodzona/przejeta podmieniamy. Kupujemy sobie w ten sposob czas na ewentualna
modernizacje, diagnostyke, nie kasujemy logow.
Show must go on.
Najbardziej chyba razi brak nalezytej starannosci czy zapobiegliwosci podczas wdrozenia. Pozniej utrzymania.
Byc moze utrzymanie nie bylo oczkiem w glowie kadry zarzadzajacej.
Jarosławie, co za problem widzisz w komentarzach pod artykułem?
Ja chciałem pokazać z czym mogą się spotkać pracownicy w takich przypadkach systemów OT budynkowe, OT produkcyjne w okresie ich utrzymania w działaniu.
Sam przypadek incydentu powinien skłaniać do analiz i refleksji co można na “własnym podwórku” zrobić. Ale też powinien skłaniać do wzajemnej interdyscyplinarnej współpracy a tego często nie ma i są “słupy miedzy działowe” a często nawet “słupy w ramach jednego działu”. Aby była współpraca nie może być “buty i arogancji” i potrzeba rozmawiać językiem zrozumiałym dla wszystkich działów zamiast wszystkich zwalniać.
Tu dotykasz czubka góry lodowej: “Najbardziej chyba razi brak nalezytej starannosci czy zapobiegliwosci podczas wdrozenia. Pozniej utrzymania.”
Cały problem OT zaczyna się od Zarządu, menadżerów, działów inwestycyjnych, integratorów, instalatorów monterów, a na końcu to wszystko loduje na barkach pracowników utrzymania, którzy nie mają rozległej wiedzy i kompletacji całego działu IT, administratorów bezpieczników, sieciowców, czy SOC.
Systemy OT szczególnie eksploatowane 15-30 lat więc “dług technologiczny” ciągle rośnie i to normalne, ale to zarząd i menadżerowie powinni planować jak tym zarządzać. Kupując zamknięty system bez wyraźnych zapisów o bezwzględnym obowiązku aktualizacji przez integratora przez XX lat – to jak recepta na katastrofę. Bezwzględnie stosować zasadę “ufam ale sprawdzam integratora” (tylko jak sprawdzić gdy system zamknięty składa się z wielu komponentów?)
Jeśli nie to masz inwestycje, gdzie ktoś coś montuje urządzania OT budynkowe, porobi jakieś sieci, tanie konsumenckie switche ukryte w dziwnych miejscach. Na koniec IT ma dać internet w punkcie XX albo łączy się to samowolnie do sieci biurowej i inwestycja zakończona .. sukcesy ordery.