🌟 Atualização imperdÃvel para quem gosta de estar bem informado!
Confira agora e compartilhe com seus amigos!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Os atacantes desligaram uma turbina a vapor e o sistema de tratamento de água de processo numa central combinada de calor e energia polaca, entrando através da rede celular privada que o operador da rede local utiliza para alcançar equipamentos remotos.
A usina fornece calor para cerca de 50.000 residentes. A recuperação começou por volta das 7h30, enquanto os intrusos ainda estavam ativos dentro da rede e os clientes não perderam calor nem eletricidade.
A CERT Polska revelou o incidente de dezembro de 2025 em 8 de agosto, após uma investigação que durou mais de três meses. O primeiro-ministro da Polónia disse em Janeiro que duas centrais CHP foram atingidas. Este é o segundo.
A rota passava por um APN privado, ou nome de ponto de acesso: uma rede de dados celular dedicada gerenciada pela operadora do sistema de distribuição. Uma configuração que permitiu que dispositivos arbitrários naquele APN se comunicassem entre si permitiu que o invasor passasse de uma rede de parque eólico comprometida para um controlador na usina CHP.
A CERT afirma que alcançar uma rede de controle industrial por meio de uma APN privada foi, até onde sabe, “a primeira instância desse vetor de ataque sendo observada em um ataque cibernético no mundo real”. O parque eólico e a usina são instalações separadas e nenhum deles administra a rede que os ligava.
O relatório não estabelece um CVE como a causa da intrusão e os investigadores não conseguiram determinar se uma vulnerabilidade no router Teltonika tinha sido explorada, pelo que não existe um único patch de software a aplicar.
O controlador WAGO acessÃvel através do APN ainda tinha credenciais de administrador padrão, enquanto o APN privado permitia o tráfego de cliente para cliente. A primeira recomendação do CERT é auditar a configuração do APN privado e ativar o isolamento do cliente.
Ele também aconselha tratar o APN como não confiável do lado da tecnologia operacional (OT), segmentando e restringindo o tráfego, removendo serviços de gerenciamento desnecessários de interfaces acessÃveis por APN e alterando as credenciais padrão.
A CERT afirma que suas pesquisas descobriram que as organizações polonesas que executam APNs privados geralmente permitem que qualquer dispositivo na rede alcance qualquer outro. Acredita que configurações semelhantes são amplamente implementadas em outros paÃses. O serviço SSH do roteador, a interface web do controlador e o APN permissivo estavam funcionando conforme configurado.
O caminho do ataque começou em um parque eólico, onde um dispositivo FortiGate serviu como firewall e concentrador de VPN. Sua VPN foi exposta à Internet e permitiu contas sem autenticação multifator. O invasor tinha privilégios administrativos no dispositivo e provavelmente os usou para obter credenciais VPN que pudessem alcançar todos os segmentos da rede.
O operador de distribuição exigiu que as comunicações com a unidade terminal remota da subestação funcionassem através do protocolo serial DNP3.0, e esse requisito foi atendido. Mas nenhum requisito equivalente cobria a interface de gerenciamento do roteador celular, que ficava em uma segunda interface, uma porta Ethernet conectada a uma VLAN atrás do firewall comprometido.
O parque eólico atendeu ao requisito DNP3.0 que havia sido fornecido e ainda forneceu a rota. Esse requisito regia como os dados viajavam, não como o dispositivo que os transportava era administrado.
O roteador era um Teltonika RUTX50 cuja senha padrão foi alterada durante a implantação. Os investigadores recuperaram repetidos logins SSH bem-sucedidos, mas não conseguiram estabelecer como o invasor obteve essa senha.
Em 11 de agosto, o The Hacker News revisou as vulnerabilidades publicadas no firmware do próprio roteador e não encontrou nenhuma que entregasse sua senha a um invasor não autenticado. As duas falhas da série RUT no comunicado Teltonika 2023 da CISA, CVE-2023-32349 e CVE-2023-32350, exigem privilégios existentes no dispositivo, e as falhas do modem do RUTX50 causam apenas negação de serviço. Uma falha não publicada não está descartada.
Os registros da operadora móvel levaram o CERT a avaliar que o invasor provavelmente usou o tunelamento SSH através do roteador para alcançar o APN privado. A partir de 18 de dezembro, o invasor examinou o APN e encontrou um controlador WAGO PFC200 expondo sua interface de administração web com credenciais de administrador padrão. A atividade SSH subsequente sugere que o serviço provavelmente foi habilitado por meio dessa interface, e a correlação de carimbo de data/hora levou o CERT a avaliar que o invasor provavelmente escalou um túnel através da WAGO para a rede OT da planta.
Em 25 de dezembro, o invasor conectou-se com sucesso a três PLCs da Siemens através do protocolo S7, atividade que o CERT considera mais provável ter sido o reconhecimento das ações destrutivas posteriores.
Em 29 de dezembro, a atividade do invasor dentro da rede CHP ocorreu por volta das 5h30 até cerca de 10h10, com a recuperação da planta começando por volta das 7h30. De acordo com o pessoal da planta, os controladores Siemens S7-300, S7-1200 e S7-1500 foram alterados para o modo STOP e protegidos por senha, desligando a turbina e o proc
A usina fornece calor para cerca de 50.000 residentes. A recuperação começou por volta das 7h30, enquanto os intrusos ainda estavam ativos dentro da rede e os clientes não perderam calor nem eletricidade.
A CERT Polska revelou o incidente de dezembro de 2025 em 8 de agosto, após uma investigação que durou mais de três meses. O primeiro-ministro da Polónia disse em Janeiro que duas centrais CHP foram atingidas. Este é o segundo.
A rota passava por um APN privado, ou nome de ponto de acesso: uma rede de dados celular dedicada gerenciada pela operadora do sistema de distribuição. Uma configuração que permitiu que dispositivos arbitrários naquele APN se comunicassem entre si permitiu que o invasor passasse de uma rede de parque eólico comprometida para um controlador na usina CHP.
A CERT afirma que alcançar uma rede de controle industrial por meio de uma APN privada foi, até onde sabe, “a primeira instância desse vetor de ataque sendo observada em um ataque cibernético no mundo real”. O parque eólico e a usina são instalações separadas e nenhum deles administra a rede que os ligava.
O relatório não estabelece um CVE como a causa da intrusão e os investigadores não conseguiram determinar se uma vulnerabilidade no router Teltonika tinha sido explorada, pelo que não existe um único patch de software a aplicar.
O controlador WAGO acessÃvel através do APN ainda tinha credenciais de administrador padrão, enquanto o APN privado permitia o tráfego de cliente para cliente. A primeira recomendação do CERT é auditar a configuração do APN privado e ativar o isolamento do cliente.
Ele também aconselha tratar o APN como não confiável do lado da tecnologia operacional (OT), segmentando e restringindo o tráfego, removendo serviços de gerenciamento desnecessários de interfaces acessÃveis por APN e alterando as credenciais padrão.
A CERT afirma que suas pesquisas descobriram que as organizações polonesas que executam APNs privados geralmente permitem que qualquer dispositivo na rede alcance qualquer outro. Acredita que configurações semelhantes são amplamente implementadas em outros paÃses. O serviço SSH do roteador, a interface web do controlador e o APN permissivo estavam funcionando conforme configurado.
O caminho do ataque começou em um parque eólico, onde um dispositivo FortiGate serviu como firewall e concentrador de VPN. Sua VPN foi exposta à Internet e permitiu contas sem autenticação multifator. O invasor tinha privilégios administrativos no dispositivo e provavelmente os usou para obter credenciais VPN que pudessem alcançar todos os segmentos da rede.
O operador de distribuição exigiu que as comunicações com a unidade terminal remota da subestação funcionassem através do protocolo serial DNP3.0, e esse requisito foi atendido. Mas nenhum requisito equivalente cobria a interface de gerenciamento do roteador celular, que ficava em uma segunda interface, uma porta Ethernet conectada a uma VLAN atrás do firewall comprometido.
O parque eólico atendeu ao requisito DNP3.0 que havia sido fornecido e ainda forneceu a rota. Esse requisito regia como os dados viajavam, não como o dispositivo que os transportava era administrado.
O roteador era um Teltonika RUTX50 cuja senha padrão foi alterada durante a implantação. Os investigadores recuperaram repetidos logins SSH bem-sucedidos, mas não conseguiram estabelecer como o invasor obteve essa senha.
Em 11 de agosto, o The Hacker News revisou as vulnerabilidades publicadas no firmware do próprio roteador e não encontrou nenhuma que entregasse sua senha a um invasor não autenticado. As duas falhas da série RUT no comunicado Teltonika 2023 da CISA, CVE-2023-32349 e CVE-2023-32350, exigem privilégios existentes no dispositivo, e as falhas do modem do RUTX50 causam apenas negação de serviço. Uma falha não publicada não está descartada.
Os registros da operadora móvel levaram o CERT a avaliar que o invasor provavelmente usou o tunelamento SSH através do roteador para alcançar o APN privado. A partir de 18 de dezembro, o invasor examinou o APN e encontrou um controlador WAGO PFC200 expondo sua interface de administração web com credenciais de administrador padrão. A atividade SSH subsequente sugere que o serviço provavelmente foi habilitado por meio dessa interface, e a correlação de carimbo de data/hora levou o CERT a avaliar que o invasor provavelmente escalou um túnel através da WAGO para a rede OT da planta.
Em 25 de dezembro, o invasor conectou-se com sucesso a três PLCs da Siemens através do protocolo S7, atividade que o CERT considera mais provável ter sido o reconhecimento das ações destrutivas posteriores.
Em 29 de dezembro, a atividade do invasor dentro da rede CHP ocorreu por volta das 5h30 até cerca de 10h10, com a recuperação da planta começando por volta das 7h30. De acordo com o pessoal da planta, os controladores Siemens S7-300, S7-1200 e S7-1500 foram alterados para o modo STOP e protegidos por senha, desligando a turbina e o proc
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #hackers #violam #controles #de #usina #polonesa #por #meio #de #rede #celular #privada #e #desligam #turbina
⚡ Fique ligado: novidades e promoções em breve por aqui! ⚡
Postar um comentário