CERT Polskaによると、12月29日にポーランドの熱電併給(CHP)プラントを狙って発生したサイバー攻撃は、攻撃者が専用APN(プライベートAPN)経由でOTネットワークへのアクセスを獲得した初の確認事例でした。
プライベートAPNとは、地域の電力網を運営する配電事業者(DSO)が携帯キャリアと構築する専用のモバイルネットワークです。
分散型エネルギーリソースにおけるプライベートAPNの利用イメージ(出典:CERT Polska)
この事件は、ポーランドのエネルギー部門を狙った協調攻撃と同じ日に発生しました。この協調攻撃では、再生可能エネルギー施設30カ所と別のCHPプラント1カ所が影響を受けています。CERT Polskaによると、規模の小さいこのCHPプラントの分析には3カ月以上を要したため、当初の報告書ではこの事件については触れられていませんでした。
標的となったCHPプラントは、約5万人の住民に熱を供給しています。攻撃により蒸気タービンと、プロセス用水の生成に使われる水処理システムが停止し、コジェネレーション(熱電併給)プロセスが中断しました。運用担当者はこの事件が顧客への熱供給や電力供給に支障をきたす前に、設備を復旧させています。
当日はたまたまプラントで保守作業が行われていたため、当初スタッフは請負業者のエンジニアがミスをしたものと考え、情報共有目的でのみ事件を報告していました。
CERT Polskaは他所で発生した同様の事案を把握していたため、念のためサイバー攻撃の可能性についても調査しました。報告書には「さらなる分析により、この仮説が裏付けられた」と記されています。
CERT Polskaのトップを務めるMarcin Dudek氏は、ラスベガスで開催されたDEF CON 34でこの攻撃の詳細を明らかにしました。
Dudek氏は「当初は人為的ミスに見えたものが、誤った手がかり、忘れられていたリモートアクセス機器、消去された産業用ハードウェア、セルラー接続、そして隔離されているはずと思われていたインフラを巡る、3カ月にわたる追跡調査へと発展した」と述べています。
研究者らは「収集したログのさらなる詳細分析に基づき、調査担当者は攻撃者が活動を行った機器、すなわち一体型セルラーモデムを搭載したWAGO PFC200 PLCを特定できた」と記しています。
「残念ながら、この機器は損傷を受けており、研究所での鑑識検査を実施したにもかかわらず、データを復元することはできなかった」と付け加えています。
攻撃者がPLCに到達した経緯
PLC(モーターやバルブ、タービンといった物理設備を制御する小型の産業用コンピュータ)から直接攻撃を仕掛けるというシナリオは、OT分野の調査担当者が通常目にするものではありません。損傷を受けたWAGOの機器からはログが得られなかったため、調査は仮説の構築と検証に頼らざるを得ませんでした。
調査チームはまず、当該PLCがインターネットに直接露出していたかどうかを確認しました。該当期間中にこの種の機器がポーランドのIPアドレス空間内に存在していたかを分析した結果、この可能性は排除されました。その後調査担当者は、この機器がDSOのプライベートAPNに接続されたSIMカードを介してDSOのシステムと通信していたことを突き止めました。
攻撃者がどのようにこのネットワークに到達したのかを理解するため、CERT Polskaは同日発生した風力発電所への攻撃を改めて調査しました。
プライベートAPNを悪用したCHPプラントへの攻撃の概念図(出典:CERT Polska)
侵入経路は、ファイアウォールとVPNコンセントレーターの両方の役割を果たすFortiGate製機器が設置された、風力発電所の変電所から始まりました。このVPNインターフェースはインターネットから到達可能な状態にあり、多要素認証も設定されていませんでした。攻撃者は内部に侵入すると、変電所のネットワークセグメント全体にわたる管理者アクセス権を獲得しました。
このネットワークには、Teltonika RUTX50セルラールーターが含まれており、2つの接続を有していました。1つはDSOのプロトコル規則で求められていた電力網設備へのシリアルリンク、もう1つは侵害された内部ネットワークに接続されたイーサネットポートで、この組み合わせについてDSOはこれまで一切の制限を設けていませんでした。ルーターから復元されたログによると、攻撃者は12月中にSSH経由で繰り返しログインし、そこからDSOのプライベートAPNへとトンネリングしていました。
APNは本来、接続された機器を隔離する目的で設計されています。しかし今回のケースでは、これによって侵害された1台の機器から別の機器へアクセスすることが可能になっていました。12月18日以降、攻撃者はVNC、HTTP、S7やModbusを含む産業用プロトコルについてネットワークをスキャンし、暖房プラントに設置されたWAGO PFC200コントローラを発見しました。このコントローラのWebインターフェースには、依然としてデフォルトの管理者認証情報が使われていました。
このコントローラではSSHはデフォルトで有効になっていませんでしたが、ログからは攻撃者が侵入後にこれを有効化した様子がうかがえます。このコントローラは、プラントのSCADAシステムと中核運用を制御する設備の両方への経路を持っており、破壊工作の11日前に攻撃者がプラントへ侵入するための橋頭堡となりました。
1週間にわたる偵察活動
12月18日から25日にかけて、攻撃者はプラントのネットワークをスキャンし、「admin」「user」、そして遠隔制御システムを導入した企業に関連する3つ目のユーザー名を使ってファイアウォールへのログインを試みましたが、いずれも成功しませんでした。
ポートスキャンの対象には、RDPやVNCといったリモートアクセスサービスに加え、産業用プロトコルも含まれていました。
あるサブネットでは、SCADAシステムのIPアドレスからスキャンが開始されており、CERT Polskaはこれについて、攻撃者が事前の偵察活動で価値の高い標的を既に特定していた可能性を示唆していると指摘しています。クリスマス当日、攻撃者はS7プロトコル経由でSiemens製PLC3台に接続しています。
これらのセッションの目的は特定できていません。CERT Polskaは、その後に続く破壊活動の準備としてコントローラの偵察を行っていたとする説を、最も可能性の高い説明としています。
破壊工作
攻撃は12月29日午前5時30分頃に開始されました。攻撃者はWAGOコントローラ経由でトンネリングを行い、SCADAのWebインターフェースを開いた後、Siemens S7-300、S7-1200、S7-1500へと順に接続し、それぞれをSTOPモードに切り替えてパスワードでロックしました。これによりタービンと水処理システムが停止しました。
プラントの担当者によると、PLCはSTOPモードに切り替えられた上、動作状態と制御ロジックの変更を防ぐパスワードで保護されていたとのことです。
攻撃者がまだネットワーク内で活動している最中に、プラントのスタッフは復旧作業を開始しました。運用担当者は影響を受けたPLCを工場出荷時設定に復元し、利用可能な制御ロジックのバックアップを再読み込みしました。これにより停止時間の短縮には成功したものの、同時にコントローラに保存されていたログも消去されてしまいました。Siemens ProductCERTは、これらのログが復元不可能であることを確認しています。
攻撃者はさらに、Moxa製シリアルデバイスサーバー7台とMoxa製ネットワークスイッチ3台も標的とし、これらを工場出荷時設定に復元した上、パスワードを変更し、127.0.0.1のような到達不能なIPアドレスを割り当てました。
HTTPリクエストのタイミングに基づき、CERT Polskaは「高い確度で」これらの操作が自動化されたものだったと結論づけています。
痕跡の隠蔽
攻撃者によるプラントネットワーク内での活動は約5時間に及び、最後にSCADAインターフェースをもう一度確認して終了しています。これはおそらく被害状況を確かめるためだったとみられます。その後攻撃者は、WAGOコントローラのパーティションテーブルを破損させ、起動不能な状態にしました。この機器こそ、後にCERT Polskaが研究所で分解調査を行いながらも、何一つ復元できなかった当の機器です。
風力発電所側では、攻撃者はTeltonikaルーターを工場出荷時設定にリセットした後、管理者パスワードを変更し、再設定を阻止するためIPアドレスを127.0.0.1に設定しました。最後に、当初の侵入拠点となったFortiGate製機器のデータを消去し、そのログも破壊しました。
攻撃者が痕跡の大部分を意図的に消去していたため、CERT Polskaは残された証拠を手がかりに、時系列を遡る形で一連の経緯を再構築しました。
研究者らは「我々の知る限り、本報告書で説明されている、プライベートAPN経由でOTネットワークへのアクセスを獲得したこの事件は、実際のサイバー攻撃においてこの攻撃ベクトルが用いられた初の確認事例である」と結論づけています。
「この攻撃の実行を可能にした要因の一つは、プライベートAPNネットワーク内の任意の機器間で接続を確立できてしまう設定上の不備だった」と付け加えています。「この種のソリューションを利用する複数の事業者を対象に実施した調査から、こうした設定は調査実施当時のポーランドにおいて広く見られるものであったことが判明した。我々の知る限り、同様の設定は世界の他の国々でも広く採用されている」としています。
