攻撃者らは設定に不備があったプライベートモバイルAPNネットワークを悪用し、風力発電所の環境からポーランドの熱電併給(CHP)発電所の運用技術(OT)ネットワークへと侵入を拡大し、蒸気タービンと水処理システムを停止させました。
CERT Polskaが調査したこの事案は、風力発電所ネットワークへのアクセスから始まり、その後、配電系統運用者が使用するプライベートアクセスポイントネーム(APN)ネットワークを通じて拡大しました。
このプライベートAPNは接続機器同士の通信を許可していたため、別の重要なエネルギー環境への予期せぬ侵入経路を生み出す結果となりました。
攻撃者はまず風力発電所の境界に位置する機器にアクセスし、リモートVPN接続を確立しました。
続いてTeltonika製セルラールーター「RUTX50」を特定し、そのWeb管理インターフェースにアクセスしてSSHサービスにログインしました。このSSHアクセスを利用して、プライベートAPNへのトンネルが構築されました。
2025年12月18日から、脅威アクターはAPN内で公開されているVNC、HTTP、S7、Modbusの各サービスをスキャンしました。この過程で、CHP発電所に接続されたWAGO製PFC200コントローラーを発見しています。
このコントローラーのWAN側Web管理インターフェースはAPNから到達可能な状態で、しかもadminアカウントにはデフォルトの認証情報が使われたままでした。
攻撃者はWAGOのWebインターフェースにログインし、そのWANインターフェース上でSSHアクセスを有効化したとみられます。その後、SSHトンネリングを利用してCHP発電所のOTネットワークに到達しました。
このコントローラーは、発電所の重要なプロセスを管理するSCADAシステムや産業用ネットワークセグメントに接続されていました。
12月18日から12月25日にかけて、攻撃者はCHP環境のマッピングを行い、アクセス範囲の拡大を試みました。初期の標的の一つは、ファイアウォールとVPNゲートウェイの両方の役割を担う機器でした。
攻撃者はadmin、user、および再生可能エネルギー施設に遠隔制御システムを導入した企業に関連するアカウントなど、複数のユーザー名でログインを試みましたが、いずれも失敗しています。
その後、攻撃者は内部ネットワークの範囲を対象に、産業用サービスおよびリモートアクセスサービスのスキャンを実施しました。
このスキャンには、TCPポート102のSiemens S7、ポート502のModbus、ポート11740のCODESYS、ポート554のRTSP動画サービス、そしてRDP、VNC、HTTP、HTTPSが含まれていました。
調査担当者によると、あるサブネットにおけるスキャンはSCADAシステムのIPアドレスから開始されており、攻撃者が価値の高い資産をすでに特定していた可能性を示唆しています。
12月22日には、リモートデスクトップサービスを稼働させている2台のシステムへの接続も試みており、これは利用可能な認証情報を探る目的だったとみられます。
クリスマス当日の12月25日、攻撃者はS7プロトコル経由で3台のSiemens製プログラマブルロジックコントローラー(PLC)への接続に成功しました。
影響を受けた機器には、Siemens S7-300、S7-1200、S7-1500の各コントローラーが含まれていました。CERT Polskaによれば、この活動はおそらく破壊的な作戦に先立つ偵察行為だったとみられます。
破壊的な段階は12月29日午前5時30分頃に始まり、午前10時10分頃まで続きました。攻撃者はSCADAサーバーのWebインターフェースにアクセスし、S7通信を使ってSiemens製PLCに接続しました。
ANY.RUNのブラウザ内データ検査機能で、検知・調査・対応をスピードアップ。フィッシングの完全な可視化を実現し、SOCの強化とMTTR短縮を
翻訳元: https://cyberpress.org/apn-hackers-halt-turbine/
