Pools CERT: Aanval op energiecentrale via private APN en standaard wachtwoord

In dit artikel:

Het Poolse Computer Emergency Response Team (CERT) heeft details bekendgemaakt van een cyberaanval op een tweede Poolse warmtekrachtcentrale. De aanval legde een stoomturbine en een waterzuiveringssysteem stil, waardoor het proces voor gelijktijdige opwekking van elektriciteit en warmte werd verstoord. De energievoorziening van burgers kwam volgens CERT niet in gevaar. Aanvankelijk werd gedacht aan een probleem tijdens onderhoudswerkzaamheden.

De aanvallers kregen eerst toegang tot een via internet bereikbare Fortinet-firewall en VPN. Omdat alleen een gebruikersnaam en wachtwoord nodig waren en multifactorauthenticatie ontbrak, konden zij beheerrechten verkrijgen en inloggegevens onderscheppen. Via de firewall bereikten ze een Teltonika-router, die verbonden was met zowel een industriële besturingseenheid als een private APN van de regionale netbeheerder.

Via die private APN vonden de aanvallers een Wago-PLC met een vanaf het netwerk toegankelijke webinterface. Het beheerdersaccount gebruikte nog het standaardwachtwoord. Vanuit de PLC konden zij de SCADA-omgeving en industriële netwerksegmenten bereiken en uiteindelijk Siemens-controllers aansturen, wat de verstoring veroorzaakte. Volgens CERT is dit voor zover bekend de eerste aanval op een industrieel systeem waarbij een private APN als toegangspad werd gebruikt. Het adviseert beheerders van energiecentrales en andere vitale infrastructuur om standaardwachtwoorden te vervangen, vooral op apparaten en diensten die met private APN’s zijn verbonden.