Grote cyberaanval op Poolse wind- en zonneparken doet wereldwijd bezorgdheid ontstaan over onveilige netwerkhardware

De V.S. Cyberbeveiliging and Infrastructure Security Agency (CISA) heeft een beveiligingswaarschuwing uitgegeven na een grootschalige cyberaanval gericht op de infrastructuur voor hernieuwbare energie in Polen, waarin de risico's worden benadrukt van kwetsbare randapparaten die met het internet verbonden zijn en in operationele technologische omgevingen worden gebruikt.

De waarschuwing volgt op een rapport van 30 januari van het Poolse Computer Emergency Response Team (CERT-Polska), waarin werd geconcludeerd dat een cyberincident in december gericht was tegen ongeveer 30 wind- en zonne-energie-installaties. Volgens het Poolse agentschap overlapte de aanvalsinfrastructuur met tools die eerder in verband waren gebracht met een Rusland-geassocieerde bedreigingsgroep die wordt gevolgd onder meerdere namen, waaronder Static Tundra, Berserk Bear, Ghost Blizzard en Dragonfly.

In zijn advies stelde CISA dat het incident aantoont dat er steeds meer bedreigingen zijn voor industriële besturingssystemen (ICS) en operationele technologie (OT), die op grote schaal worden ingezet in de energieproductie, nutsbedrijven en productiesectoren. Het agentschap merkte op dat aanvallers aanvankelijk toegang kregen via randapparatuur die niet gepatcht of niet ondersteund was, zoals routers en firewalls.

Volgens CISA gebruikten de aanvallers destructieve wiper-malware die remote terminal units (RTU's) beschadigde, gegevens op human-machine interfaces (HMI's) wist en firmware beschadigde op operationele technologische apparaten. Terwijl de energieproductie naar verluidt doorging, verloren operators tijdelijk het zicht op de bewaking en controle van de getroffen installaties.

Het agentschap heeft onlangs de inspanningen geïntensiveerd om de risico's van kwetsbare netwerkapparatuur te beperken. Vorige week vaardigde CISA een bindende richtlijn uit die van Amerikaanse federale agentschappen om niet-ondersteunde randapparaten uit hun netwerken te verwijderen.

Beveiligingsonderzoekers van Dragos beschrijven de aanval als een aanzienlijke escalatie en merken op dat dit een van de eerste bekende cyber operaties die specifiek gericht zijn op gedistribueerde energiebronnen zoals kleinschalige wind-, zonne- en warmtekrachtinstallaties. In tegenstelling tot gecentraliseerde elektriciteitscentrales zijn deze gedistribueerde systemen vaak sterk afhankelijk van connectiviteit op afstand en wordt er historisch gezien minder geïnvesteerd in cyberbeveiliging.

Ambtenaren van het National Cyber Security Centre van het Verenigd Koninkrijk drongen er na het incident ook bij exploitanten van kritieke infrastructuur op aan om hun beschermende maatregelen te versterken.

CISA adviseert beheerders van infrastructuur om de technische bevindingen van CERT-Polska te bekijken en de federale richtlijnen op te volgen die ontworpen zijn om kwetsbaarheden in OT- en ICS-omgevingen te verminderen.