Kybernetický útok na elektrárne v Poľsku

Všetky útoky mali čisto deštruktívny charakter – analogicky s fyzickým svetom ich možno prirovnať k úmyselnému podpaľačstvu. Stojí za zmienku, že toto obdobie sa zhodovalo s nízkymi teplotami a snehovými búrkami, ktoré postihli Poľsko krátko pred Silvestrom. Na základe technickej analýzy možno dospieť k záveru, že všetky uvedené útoky vykonal ten istý aktér hrozby.

Tieto udalosti ovplyvnili informačné systémy (IT) aj fyzické priemyselné zariadenia (OT), čo sa pri doteraz verejne hlásených útokoch pozoruje len zriedka. Túto správu zverejňujeme s cieľom podeliť sa o poznatky o priebehu udalostí a technikách, ktoré útočník použil. Dúfame, že to zvýši povedomie o skutočných rizikách spojených s kybernetickou sabotážou. Tieto útoky predstavujú výraznú eskaláciu v porovnaní s incidentmi, ktoré sme doteraz pozorovali.

Útok na elektrárne obnoviteľnej energie

V sektore obnoviteľnej energie bol útok zameraný na najmenej 30 veterných a solárnych elektrární v Poľsku. Útok viedol k strate komunikácie medzi zariadeniami a prevádzkovateľmi distribučných sústav (DSO), ale neovplyvnil prebiehajúcu výrobu elektriny. Z pohľadu prevádzkovateľa prenosovej sústavy (Polskie Sieci Elektroenergetyczne) útok neovplyvnil stabilitu poľskej energetickej sústavy.

Treba však poznamenať, že vzhľadom na úroveň prístupu, ktorú útočník získal, existovalo riziko prerušenia výroby elektriny v postihnutých zariadeniach. Aj keby k takémuto prerušeniu došlo, analýzy naznačujú, že kombinovaná strata kapacity vo všetkých 30 zariadeniach by neovplyvnila stabilitu poľskej energetickej sústavy počas daného obdobia.

Architektúra zariadenia obnoviteľnej energie

Pre pochopenie priebehu útoku a jeho dôsledkov je najprv potrebné vysvetliť architektúru elektrární obnoviteľnej energie. Elektrina vyrobená z veterných turbín a fotovoltických systémov (FV) sa zhromažďuje a smeruje do rozvodne, bežne označovanej ako bod pripojenia k sieti (z angl. Grid Connection Point, GCP).

V rozvodni zvyšuje napätie transformátor na 110 kV, čo umožňuje efektívny prenos energie do distribučnej siete. Prevádzku a bezpečnosť siete zabezpečuje prevádzkovateľ distribučnej sústavy (DSO), ktorý dohliada na podmienky na mieste pripojenia a zabezpečuje stabilnú prevádzku systému. Útok zasiahol rozvodňu GCP, ktorá slúži nielen ako fyzický bod prepojenia siete, ale aj ako miesto, prostredníctvom ktorého DSO vykonáva diaľkové monitorovanie a dohľadové riadenie.

Takéto rozvodne sú zvyčajne spravované diaľkovo a sú bezobslužné s možnosťou diaľkového prístupu, ktorý sa bežne používa na prevádzku a údržbu. V oblasti priemyselnej automatizácie patria medzi kľúčové komponenty GCP relevantné pre opísaný útok:

Vzdialená terminálová jednotka (RTU): zodpovedná za funkcie diaľkového ovládania a dohľad nad prevádzkou rozvodne.

• Lokálne HMI: používané na vizualizáciu prevádzkového stavu rozvodne na základe údajov poskytnutých RTU.
• Ochranné relé: zodpovedné za ochranné funkcie vrátane detekcie porúch a izolácie.
• Servery sériových zariadení: používajú sa na pripojenie zariadení využívajúcich rozhrania RS232 alebo RS485 a na zabezpečenie sériového pripojenia IP, čo umožňuje komunikáciu s prevádzkovateľom distribučnej sústavy (PDS), kde je potrebné sériové rozhranie.
• Primárne a záložné komunikačné prepojenia (mobilný smerovač): používajú sa na pripojenie k systému SCADA prevádzkovateľa distribučnej sústavy prostredníctvom protokolov DNP3.0 alebo IEC 101.
• Integrovaný koncentrátor VPN a firewall: používajú sa na zabezpečenie vzdialeného prístupu k službám, segmentácie siete, prípadne prepojenia medzi systémami zariadenia na výrobu energie z obnoviteľných zdrojov a PDS.

Treba zdôrazniť, že v Poľsku PDS zvyčajne vyžadujú komunikáciu medzi systémom SCADA prevádzkovateľa a GCP cez sériové prepojenia pomocou protokolov DNP3.0 alebo IEC 101. Takýto prístup znižuje pravdepodobnosť, že by sa kompromitácia GCP mohla využiť ako priamy vektor útoku proti sieti PDS.

Vektor útoku na GCP

V každom postihnutom zariadení sa nachádzalo zariadenie FortiGate, ktoré slúžilo ako koncentrátor VPN aj firewall. V každom prípade bolo rozhranie VPN vystavené internetu a umožňovalo autentifikáciu účtov definovaných v konfigurácii bez viacfaktorovej autentifikácie. Kvôli deštruktívnym akciám vykonaným útočníkom nebolo možné obnoviť kompletné protokoly zo žiadneho z napadnutých zariadení.

Počas analýzy sa zistilo, že niektoré z týchto zariadení boli v minulosti, v určitých obdobiach dlhší čas zraniteľné vrátane zraniteľností umožňujúcich vzdialené spustenie kódu. Dostupné informácie naznačujú, že v tomto odvetví je bežnou praxou opätovné používanie rovnakých účtov a hesiel vo viacerých zariadeniach. V takomto scenári by kompromitácia čo i len jedného účtu mohla útočníkovi umožniť identifikovať a získať prístup k iným zariadeniam, kde sa používali rovnaké prihlasovacie údaje.

Siete analyzovaných zariadení často obsahovali oddelené podsiete VLAN; v čase útoku však mal útočník administrátorské oprávnenia na zariadení. Tieto oprávnenia boli pravdepodobne použité na získanie prihlasovacích údajov pre účet VPN s prístupom ku všetkým podsieťam.

Aj keby takýto účet neexistoval, útočník s prístupom na úrovni správcu mohol upraviť konfiguráciu zariadenia tak, aby umožnil ekvivalentný prístup. Všetky analyzované zariadenia útočník v deň útoku obnovil do továrenských nastavení. Táto akcia sa javí ako deštruktívna, pravdepodobne zameraná na zabránenie obnovenia prevádzkovej schopnosti a zároveň slúžila na vymazanie stôp po útočníkovej aktivite.

Deštruktívne aktivity

29. decembra 2025 boli v každom z postihnutých zariadení spustené deštruktívne akcie proti zariadeniam, ku ktorým mal útočník prístup. Aktivita pozorovaná v jednotlivých rozvodniach sa javí ako aspoň čiastočne automatizovaná. Zariadenia boli poškodené vo vzostupnom poradí podľa IP adries. Bolo pozorované, že ak útok zlyhal na danej IP adrese v rámci segmentu siete, nepokračoval proti ďalším adresám. Poškodenie ovládačov RTU opísané ďalej bolo priamou príčinou straty komunikácie medzi zariadením a prevádzkovateľom distribučnej sústavy a zabránilo diaľkovému ovládaniu, ale neovplyvnilo prebiehajúcu výrobu elektriny.

RTU Hitachi

Vo väčšine postihnutých elektrární boli používané ovládače Hitachi RTU560 s rôznymi verziami firmvéru. Zariadenia boli nakonfigurované s predvolenými prihlasovacími údajmi vrátane účtu s názvom Default. Všetky zariadenia mali prístup k webovému rozhraniu zo siete GCP a s príslušnými oprávneniami aj zo zariadenia FortiGate. Útok bol vykonaný prihlásením sa do webového rozhrania pomocou účtu Default.

Tento účet má oprávnenia na úpravu firmvéru zariadenia a bol použitý na nahranie poškodeného firmvéru. Súbor firmvéru vo formáte ELF bol upravený tak, že do vstupného bodu programu bolo vložených 240 bajtov 0xFF. V dôsledku toho procesor vykonal neplatnú inštrukciu, čo spôsobilo chybu a viedlo k slučke reštartu zariadenia.

Stojí za zmienku, že upravený firmvér nahraný útočníkom sa identifikoval ako verzia 13.5.3.0, ktorá nebola nasadená v žiadnom z postihnutých zariadení. To naznačuje, že útočník pravdepodobne získal firmvér mimo skúmaného prostredia.

Funkcia zabezpečenej aktualizácie, ktorá umožňuje overenie digitálneho podpisu nahraného firmvéru, bola zavedená vo verzii 13.2.1, ale vyžadovala explicitnú aktiváciu. Žiadne zo zariadení, ktoré podporovali zabezpečenú aktualizáciu, nemalo túto funkciu povolenú. Aj keby bola povolená, existuje zraniteľnosť (CVE‑2024‑2617), ktorá umožňuje obísť zabezpečenú aktualizáciu. Táto zraniteľnosť bola opravená vo verzii 13.7.7. CERT Polska zostal počas riešenia incidentu v kontakte s Hitachi Energy PSIRT, ktorý nezávisle potvrdil opísaný scenár útoku.

Mikronika RTU

Útočník tiež vykonával deštruktívne akcie v zariadeniach, kde sa používali riadiace systémy Mikronika. Architektúra riadiacich systémov je založená na operačnom systéme Linux. V pozorovaných incidentoch útočník použil predvolené prihlasovacie údaje na prihlásenie cez konzolu SSH do účtu s oprávneniami root. Útočník potom vykonal príkaz určený na vymazanie všetkých súborov zo systému, čo malo za následok zlyhanie zariadenia.

Presný príkaz vykonaný počas útoku sa v súbore .bash_history nezachoval. Počas analýzy sa spoločnosti Mikronika podarilo obnoviť časť protokolov zariadenia. Tieto protokoly naznačujú, že 25. decembra 2025 útočník vo všetkých zariadeniach, kde bolo zariadenie nasadené, vykonal skenovanie siete a pokusy o prihlásenie. CERT Polska zostal počas riešenia incidentu v kontakte so spoločnosťou Mikronika a spoločnosť nezávisle potvrdila opísaný priebeh útoku.

Ochranné a riadiace relé (IED) Hitachi Relion

V dvoch prípadoch boli pozorované deštruktívne akcie zamerané na inteligentné elektronické zariadenia (z angl. Intelligent Electronic Devices, IED) Hitachi Relion 650 v1.1. Tieto zariadenia majú štandardne povolenú službu FTP, ktorá poskytuje prístup k systémovým súborom zariadenia. Útočník použil vstavaný účet s predvolenými prihlasovacími údajmi na vymazanie súborov nevyhnutných pre prevádzku zariadenia.

To viedlo k chybe, ktorá spôsobila vypnutie zariadenia a zabránila jeho reštartovaniu. Treba zdôrazniť, že ak by bolo zariadenie nasadené v súlade s odporúčaniami výrobcu, predvolený FTP účet by bol automaticky deaktivovaný. CERT Polska zostal počas riešenia incidentu v kontakte s Hitachi Energy PSIRT, ktorý nezávisle potvrdil opísaný priebeh útoku.

Počítače HMI spoločnosti Mikronika

V niektorých prípadoch bol ako HMI použitý softvér Mikronika Syndis nainštalovaný na systémoch Windows 10. Počítače boli nakonfigurované s predvoleným heslom nastaveným počas nasadenia pre účet s lokálnymi oprávneniami správcu. Útočník využil znalosť tohto účtu (bez dôkazov o pokusoch o uhádnutie hesla) na získanie prístupu k počítaču prostredníctvom služby Vzdialená pracovná plocha. 8. decembra 2025 útočník zaviedol sériu zmien v konfigurácii systému.

Medzi ne patrilo okrem iného povolenie zdieľaných administrátorských priečinkov a vytvorenie nového pravidla brány firewall s názvom Microsoft Update, ktoré umožňovalo komunikáciu cez TCP port 445. Použité zmeny konfigurácie umožnili sieťový prístup k disku prostredníctvom protokolu SMB, ako aj vzdialené vykonávanie príkazov v systéme. Úpravy sa vykonali pomocou PowerShellu. Po zavedení nových konfigurácií v počítači útočník následne použil skripty Impacket na vykonanie prieskumných aktivít.

Medzi vykonanými príkazmi boli napríklad netstat a tasklist. Ráno 29. decembra 2025 protokoly udalostí a súborový systém operačného systému zaznamenali úspešné prihlásenie do siete, po ktorom nasledovalo vytvorenie škodlivého súboru na ceste C:\Source.exe. Tento súbor bol následne spustený s cieľom poškodiť údaje. Stojí za zmienku, že ide o malvér označovaný ako DynoWiper.

Sériové servery zariadení Moxa NPort

Každé z postihnutých zariadení používalo sériové servery zariadení Moxa NPort 6xxx. Zariadenia mali povolené webové rozhranie a boli nakonfigurované s predvolenými prihlasovacími údajmi. Útočník zneužil tieto údaje na obnovenie zariadení do továrenských nastavení, zmenu prihlasovacieho hesla a nastavenie IP adresy zariadenia na nedostupnú hodnotu, napríklad 127.0.0.1. To viedlo k nedostupnosti zariadení, pričom zmena hesla a IP adresy mala spôsobiť oneskorenie obnovenia prevádzkovej schopnosti. V každom z analyzovaných prípadov boli cieľom všetky zariadenia Moxa dostupné v zariadení.

Útok na veľkú prevádzku s kogeneračnou jednotkou

Dňa 29. decembra 2025 bol útok vykonaný aj na jednu z poľských kogeneračných elektrární. Cieľom sabotáže bolo nezvratné zničenie údajov uložených na zariadeniach v rámci internej siete organizácie, čo sa dosiahlo spustením malvéru wiper (malvér určený na zničenie súborov alebo vymazanie diskov s cieľom znefunkčniť zariadenie alebo údaje). Deštruktívnemu útoku predchádzala dlhodobá infiltrácia infraštruktúry a krádež citlivých informácií súvisiacich s prevádzkou organizácie.

V dôsledku týchto aktivít útočník získal prístup k privilegovaným účtom v doméne Active Directory, čo umožnilo neobmedzený laterálny pohyb v systémoch organizácie. Distribúcia malvéru wiper do počítačov v sieti sa uskutočnila pomocou objektov GPO (z angl. Group Policy Objects); riešenie EDR (z angl. Endpoint Detection and Response) nasadené organizáciou však škodlivú aktivitu odhalilo a útok zablokovalo. Indikátory podozrivej aktivity v infraštruktúre boli pozorované niekoľko mesiacov pred spustením malvéru wiper.

Nebolo možné úplne potvrdiť, že dva klastre aktivít pozorované v roku 2025 boli vykonané tým istým aktérom hrozby. Prieskum priemyselných automatizačných systémov útočníkom v kombinácii s nedostatkom ďalšej aktivity po krádeži databáz poverení doménového kontroléra (z angl. domain controller) v prvom klastri však naznačuje, že aktér pôsobí dlhší čas s konzistentným operačným profilom.

Prvé aktivity v infraštruktúre organizácie

Medzi marcom a júlom 2025 boli v infraštruktúre napadnutej organizácie pozorované podozrivé aktivity vrátane prieskumu, neoprávneného prístupu k údajom a pokusov o získanie používateľských prihlasovacích údajov.

Počiatočné indikátory prítomnosti útočníka

Analýza protokolov udalostí systému Microsoft Windows z doménového kontroléra spolu s udalosťami zaznamenanými EDR ukázala, že prvé aktivity útočníka sa uskutočnili medzi marcom a májom 2025. Korelácia udalostí umožnila určiť, že útočník získal prístup k jednej z medzistaníc na prihlasovanie pomocou vzdialeného prístupu (jump host), kde boli zaznamenané prihlásenia RDP z adresy priradenej k jednému z rozhraní perimetrického zariadenia FortiGate. Následne sa z tohto počítača útočník pripojil k iným systémom (vrátane doménového kontroléra) pomocou vzdialenej plochy.

Stopy prieskumu

Analýza artefaktov systému Microsoft Windows odhalila, že po získaní prístupu k doménovému kontroléru útočník pokračoval v prieskume infraštruktúry so zameraním na systémy priemyselnej automatizácie a zároveň vymenoval systémy dostupné v sieti. Na tento účel útočník použil konzolový nástroj nircmd na zachytenie snímok obrazovky jednotlivých zariadení. Na spustenie programov na cieľových počítačoch útočník použil PsExec z balíka PsTools.

Okrem toho bolo na mnohých počítačoch pozorované vzdialené spustenie príkazu, ktorý zapísal informácie do súboru s názvom outlog.txt vrátane aktuálne spustených procesov, sieťových pripojení, smerovacích tabuliek, vyrovnávacej pamäte ARP a obsahu používateľských adresárov. Na doménovom konotroléri útočník tiež interagoval so súborovými systémami iných systémov a získal k nim prístup prostredníctvom protokolu SMB.

Dôležité je, že väčšina systémov, ku ktorým sa pristupovalo týmto spôsobom, obsahovala vo svojich názvoch slovo scada, čo naznačuje špecifický záujem o oblasť priemyselnej automatizácie. Okrem toho útočník vymenoval zdroje zdieľané serverom NAS a pokúsil sa nadviazať pripojenia RDP k ďalším počítačom. Tieto aktivity boli rozložené v čase a vykonávali sa prevažne počas štandardných pracovných hodín.

Eskalácia privilégií v rámci infraštruktúry

Takmer mesiac po získaní prístupu k doménovému kontroléru útočník umiestnil na server ZIP archív s kódovaním Base64 a dekódoval ho pomocou vstavaného nástroja certutil. Materiál dostupný na analýzu neumožnil určiť obsah archívu; systém EDR však bezprostredne po tejto udalosti zistil pravdepodobný pokus o krádež poverení zahŕňajúci výpis pamäte procesu LSASS.

Krátko nato bol útočník pozorovaný aj pri použití nástroja Rubeus, ktorý je určený na útoky proti autentifikačnému protokolu Kerberos. Útočník ho použil na vytvorenie Diamond Ticketu. V druhej polovici júla útočník vykonal výpis celej databázy Active Directory extrahovaním obsahu súboru ntds.dit.

Aktivita útočníka koncom roka 2025

Koncom roka 2025 boli v infraštruktúre napadnutej organizácie opäť pozorované neoprávnené aktivity spojené s prieskumom, krádežou poverení a prístupom k údajom. Tentoraz sa útočník pokúsil poškodiť údaje aj na serveroch a pracovných staniciach.

Metóda prístupu k sieťovej infraštruktúre

Analýza forenzných údajov odhalila, že počas incidentu sa útočník opakovane pripájal k portálovej službe SSL-VPN zariadenia FortiGate umiestneného na sieťovom perimetri organizácie. Útočník získal prístup k infraštruktúre pomocou viacerých účtov, ktoré boli staticky definované v konfigurácii zariadenia a nemali povolené dvojfaktorové overenie. Útočník sa pripojil pomocou uzlov Tor, ako aj poľských a zahraničných IP adries, ktoré boli často spojené s kompromitovanou infraštruktúrou.

Po získaní prístupu k portálovej službe SSL-VPN útočník použil záložky definované v konfiguračnom súbore, ktoré umožňovali autorizovaným používateľom prístup k medzistanici prostredníctvom RDP. Analýza konfiguračného súboru zariadenia FortiGate naznačuje, že niektorí používatelia mali staticky nakonfigurované poverenia cieľového používateľa, ktoré umožňovali pripojenie k medzistanici z portálu SSL-VPN bez nutnosti poskytovania ďalších lokálnych alebo doménových poverení používateľa.

Použitie reverzného SOCKS Proxy tunela

Počas svojich aktivít útočník tuneloval určité akcie pomocou softvéru Reverse SOCKS Proxy. Táto metóda zahŕňa nasadenie špecializovaného softvéru na počítači v rámci internej infraštruktúry, ktorý následne vytvorí tunel k počítaču ovládanému útočníkom, často umiestnenému vo verejnej sieti. Toto nastavenie umožňuje útočníkovi vzdialene smerovať útoky na iné systémy v rámci internej siete prostredníctvom počítača, na ktorom beží Reverse SOCKS proxy. Na jednej pracovnej stanici boli identifikované stopy spustenia tohto typu softvéru spolu s IP adresou servera ovládaného útočníkom. Na tento účel útočník použil nástroj rsocx2, ktorý funguje pod súbormi r.exe a rsocx.exe.

Stopy prieskumu infraštruktúry

Korelácia relácií SSL-VPN a prihlásení k vzdialenej ploche umožnila identifikovať techniky a nástroje, ktoré útočník používal na vykonávanie prieskumu v rámci infraštruktúry. Medzi nástroje, ktoré útočník používal, patrili štandardné systémové nástroje vrátane nslookup a ping. Použitie vstavaných systémových nástrojov umožnilo útočníkovi vyhnúť sa odhaleniu bezpečnostnými systémami, pretože tieto nástroje sú natívne nainštalované v systéme Microsoft Windows a bežne ich používajú používatelia aj správcovia. Ďalším nástrojom, ktorý útočník použil na prieskum siete, bol nástroj na skenovanie portov, a to Advanced Port Scanner a Advanced IP Scanner. Dôkazy o spustení tohto softvéru a prístupe k súborom s ním spojeným boli zistené na niekoľkých zariadeniach v sieti organizácie.

Používanie prehliadača Microsoft Edge na prieskum služieb a prenos súborov

Zachované protokoly naznačujú, že útočník použil webový prehliadač Microsoft Edge spustený v súkromnom režime (spustený s parametrom --inprivate) na prístup k službám nachádzajúcim sa v internej sieti organizácie aj v subjektoch tretích strán. Okrem toho bol prehliadač použitý na sťahovanie ďalších súborov. Zatiaľ čo Advanced Port Scanner bol stiahnutý priamo z webovej stránky dodávateľa, útočník získal súbory hostované na cloudovom úložisku Dropbox. Spozorované boli aj pripojenia k doméne pastebin.com (služba používaná na ukladanie a zdieľanie textových údajov).

Metódy komunikácie medzi systémami v infraštruktúre

Primárnou metódou komunikácie, ktorú útočník používal medzi počítačmi v sieťovej infraštruktúre, bol protokol RDP. Túto metódu prístupu používali aj autorizovaní používatelia infraštruktúry, čo útočníkovi umožnilo vyhnúť sa podozreniu. Rovnako ako legitímni používatelia sa útočník najprv prihlásil do medzistanice a potom pokračoval v prístupe k iným systémom v sieti.

Útočník tiež použil kolekciu skriptov z verejne dostupného balíka Impacket na komunikáciu medzi systémami. Impacket umožňuje interakciu so širokou škálou sieťových protokolov vrátane vzdialeného vykonávania príkazov na systémoch v rámci infraštruktúry, napríklad prostredníctvom služby SMB. Stopy používania Impacketu identifikoval systém EDR nasadený v infraštruktúre.

Krádež poverení zo služby LSASS pracovnej stanice

Na zvýšenie privilégií v rámci infraštruktúry a získanie prístupu k ďalším systémom útočník použil techniku zahŕňajúcu extrakciu poverení z výpisu pamäte procesu Microsoft Windows LSASS. Služba LSASS je okrem iných funkcií zodpovedná za overovanie používateľov v operačnom systéme. Počas incidentu bolo pozorované vytvorenie výpisu pamäte tejto služby. Útočník sa potom mohol pokúsiť prelomiť heslá používateľov alebo opätovne použiť hašovacie hodnoty hesiel na získanie prístupu k iným systémom.

Krádež databázy Active Directory a podregistrov z doménového kontroléra

Útočník sa tiež zameral na podregistre SAM a SYSTEM, ako aj na databázu Active Directory umiestnenú na doménovom kontroléri. Identifikované artefakty naznačujú, že útočník použil príkaz uilt-in reg na vytvorenie kópií podregistrov SAM a SYSTEM a systémový nástroj vssadmin na vytvorenie tieňovej kópie oddielu C s cieľom ukradnúť súbor ntds.dit obsahujúci databázu Active Directory. Ukradnuté údaje boli následne komprimované a bol vykonaný pokus o ich exfiltráciu pomocou interpreta PowerShell na server ovládaný útočníkom.

Krádež konfigurácie zariadení FortiGate

Analýza protokolov udalostí z jedného z doménových kontrolérov odhalila, že útočník navyše ukradol konfiguračné súbory z niekoľkých zariadení FortiGate prevádzkovaných v rámci napadnutej organizácie. Korelácia udalostí súvisiacich s procesmi a súbormi vytvorenými v tom čase naznačuje, že krádež bola vykonaná pomocou webového prehliadača Microsoft Edge spusteného v súkromnom režime.

Úprava konfigurácie perimetrického zariadenia FortiGate

Analýza protokolov udalostí zariadenia FortiGate umiestneného na sieťovom perimetri napadnutej organizácie odhalila, že útočník vykonal aj zmeny v jeho konfigurácii. Tieto úpravy zahŕňali okrem iného pridanie nového pravidla, ktorého cieľom bolo povoliť pripojenie pomocou ľubovoľného protokolu a ľubovoľnej IP adresy k určenému zariadeniu. Súčasťou tohto pravidla bolo zakázané protokolovanie sieťovej prevádzky. Okrem toho názov novovytvoreného pravidla napodobňoval názov inštitúcie, ktorá už bola prítomná v konfigurácii zariadenia, pravdepodobne v snahe vyhnúť sa odhaleniu.

Zničenie súborov na pracovných staniciach

Ráno 29. decembra 2025 útočník získal prístup k portálu SSL-VPN a potom ho použil na vytvorenie pripojenia vzdialenej plochy k medzistanici. Z tohto systému sa útočník pripojil k jednému z doménových kontrolérov, kde vytvoril archív obsahujúci okrem iného aj súbor malvéru wiper určený na trvalé zničenie údajov na počítačoch v rámci sieťovej infraštruktúry. Malvér wiper bol umiestnený na sieťovom zdieľanom priečinku, ku ktorému mali prístup iné počítače v sieti, a následne bol spustený pomocou dodatočného objektu skupinovej politiky (GPO).

Spustiteľný súbor wiper (DynoWiper) nebol detegovaný antivírusovým softvérom; jeho spustenie však bolo za behu zablokované riešením EDR pomocou kanárikového mechanizmu, t. j. súborov, ktoré spúšťajú upozornenie, keď sa ich obsah začne meniť. To viedlo k zastaveniu prepisovania údajov na viac ako 100 počítačoch, na ktorých už bol súbor spustený. V ten istý deň sa útočník opäť pokúsil spustiť mierne upravenú verziu wipera, ale tento pokus bol tiež neúspešný.

Zničenie údajov na diskoch serverov

Okrem pokusov o zničenie údajov na pracovných staniciach patriacich napadnutej organizácii sa útočník pokúsil aj priamo zničiť údaje na diskoch pripojených k serverom v rámci infraštruktúry. Na to útočník použil minimalistickú distribúciu systému Tiny Core Linux, ktorej obraz bol stiahnutý na jeden z doménových kontrolérov a následne spustený na serveri pomocou rozhrania KVM. V nasledujúcich krokoch útočník použil príkaz dd na prepísanie častí diskov náhodnými údajmi. S rovnakým cieľom sa útočník pokúsil použiť aj technológiu známu ako Intel Rapid Storage Technology, prostredníctvom ktorej sa pokúsil o úpravu konfigurácie diskových RAID polí.

Zdroj: Energy Sector Incident Report – 29 December, CERT Polska. [online]. Citované: 28. 7. 2026. 

Pozn.: Tento preklad nie je oficiálnym prekladom CERT Polska, ale redakcie ATP Journal. V prípade nejasností a pre korektnosť je potrebné konfrontovať originálny zdroj uvedený vyššie.

-tog-