Zhackowali infrastrukturę 30+ farm wiatrowych i fotowoltaicznych w Polsce. Pełne szczegóły cyberataku.

Atakujący dostali się do infrastruktury farm / posiadali wysokie uprawnienia, ale finalnie nie miało to wpływu na stabilność dostaw prądu w Polsce. Jak czytamy w raporcie CERT Polska (cytaty z raportu oznaczamy kursywą):

(…) z uwagi na poziom dostępów uzyskanych przez atakującego istniało ryzyko spowodowania przestoju w produkcji energii elektrycznej przez obiekt. Jednak nawet gdyby tak się stało, to według przeprowadzonych analiz ubytek sumarycznej mocy wszystkich 30 obiektów nie wpłynąłby na stabilność polskiego systemu elektroenergetycznego w omawianym okresie.

Jak atakujący dostali się do infrastruktury? Prawdopodobnie było to wykorzystanie luki w interfejsie VPN udostępnionym do Internetu (atak na urządzenie sieciowe) lub ewentualnie wykorzystanie wykradzionych danych dostępowych administratora (i brak dwuczynnikowego uwierzytelnienia). Oddajmy głos specjalistom z CERT Polska:

W każdym zaatakowanym obiekcie było obecne urządzenie Fortigate pełniące funkcję koncentratora VPN oraz Firewalla. W każdym przypadku interfejs VPN był dostępny z sieci Internet i umożliwiał logowanie na zdefiniowane w konfiguracji konta bez wieloskładnikowego uwierzytelniania.

Sieci badanych obiektów często posiadały wydzielone podsieci VLAN, ale atakujący w momencie ataku posiadał uprawnienia administratora urządzenia, co prawdopodobnie zostało użyte do pozyskania poświadczeń konta VPN, które miało uprawnienia dostępowe do wszystkich podsieci. Nawet jeśli takiego konta by nie było, to atakujący, posiadając uprawnienia administratora, mógł zmienić konfigurację urządzeń.

Czyli atakujący uzyskali uprawnienia administratora na urządzeniu Fortigate, dzięki temu mieli możliwość dostępu do wszystkich sieci wewnętrznych (osiągalnych z Fortigate).

A co było w sieci wewnętrznej? Chaos. Chaos czyli domyślne dane logowania do sterowników / urządzeń – które zostały użyte do zniszczenia oprogramowania urządzeń. Poniżej wybrane fragmenty z Raportu (wytłuszczenia od sekurak):

1. Na większości zaatakowanych farm używano sterownika Hitachi RTU560 (…). Urządzenia miały domyślne poświadczenia, w tym dla konta o nazwie „Default”. Wszystkie urządzenia posiadały web interfejs dostępny z sieci GPO i przy odpowiednich uprawnieniach osiągalny z urządzenia Fortigate.
   
   Konto to posiada uprawnienia do zmiany firmware na urządzeniu i zostało użyte do wgrania uszkodzonego firmware. Plik w formacie .ELF został zmodyfikowany tak, że w miejscu startu programu wstawione zostało 240 bajtów 0xFF. W rezultacie procesor wykonał nieprawidłową instrukcję, co spowodowało błąd i skutkowało nieskończoną pętlą restartu urządzenia.
   
2. Atakujący przeprowadził również działania destrukcyjne w obiektach, w których były
   używane sterowniki firmy Mikronika. Architektura sterowników jest oparta na systemie Linux. W zaobserwowanych zdarzeniach atakujący wykorzystał domyślne poświadczenia, aby zalogować się poprzez konsolę SSH na konto z uprawnieniami root. Następnie wykonał polecenie mające na celu usunięcie wszystkich plików z systemu, co spowodowało awarię urządzenia.
3. W dwóch przypadkach zaobserwowano działania destrukcyjne wymierzone w sterowniki zabezpieczeń polowych Hitachi Relion 650 v1.1.
   
   Mają one domyślnie włączoną usługę FTP, która daje dostęp do plików systemowych
   urządzenia. Atakujący wykorzystał wbudowane konto z domyślnymi poświadczeniami, aby usunąć pliki niezbędne do działania urządzeń. Spowodowało to błąd, który doprowadził do wyłączenia urządzenia i uniemożliwiał jego ponowne uruchomienie. Należy podkreślić, że gdyby urządzenie zostało wdrożone zgodnie z zaleceniami producenta, to domyślne konto FTP zostałoby automatycznie zablokowane.
4. W wybranych przypadkach jako HMI było wykorzystywane oprogramowanie Mikronika
   Syndis zainstalowane na systemie Windows 10. Maszyny posiadały domyślne hasło
   ustawione podczas wdrożenia dla konta z uprawnieniami lokalnego administratora.
   Atakujący wykorzystał znajomość tego konta (brak prób zgadywania hasła) do uzyskania
   dostępu do maszyny z użyciem usługi zdalnego pulpitu.
5. Każdy z zaatakowanych obiektów korzystał z serwerów portów Moxa Nport 6xxx.
   Urządzenia posiadały włączony interfejs webowy i domyślny login i hasło. Atakujący
   wykorzystał te poświadczenia w celu przywrócenia urządzeń do ustawień fabrycznych,
   zmiany hasła logowania oraz ustawienia adresu IP urządzenia na nieosiągalny.

Chcecie więcej relacji z chaosu? Polecam poczytanie Raportu. Atak na farmy OZE był skoordynowany z atakiem na elektrociepłownię, o którym piszemy tutaj. [Foto w miniaturce – ilustracyjne].

~ms