Sandworm nutzte eine private APN für den Angriff auf ein polnisches Kraftwerk

Ein zerstörerischer Angriff ohne Stromausfall

CERT.PL hat einen neuen Angriff auf den polnischen Energiesektor dokumentiert, der staatlich unterstützten russischen Akteuren und der Gruppe Sandworm zugeschrieben wird.

Ziel war ein kleines Kraft-Wärme-Kopplungs-Kraftwerk, das rund 50.000 Einwohner mit Wärme versorgt. Die Angreifer unterbrachen den KWK-Prozess, indem sie eine Dampfturbine und ein Wasseraufbereitungssystem abschalteten. Die Wärme- und Stromversorgung blieb jedoch ohne Unterbrechung.

Der Vorfall ereignete sich während Wartungsarbeiten und wurde zunächst für einen technischen Fehler gehalten. Eine anschließende Analyse durch CERT.PL bestätigte den böswilligen Ursprung.

Einige ICS-Geräte wurden dauerhaft beschädigt, vermutlich um die forensische Analyse zu erschweren. Durch die Wiederherstellung der Systeme konnte die Ausfallzeit dennoch schnell begrenzt werden.

Die private APN als Brücke in industrielle Netzwerke

Laut CERT.PL handelt es sich um den ersten beobachteten Fall, in dem eine private APN als Angriffsvektor genutzt wurde. Eine solche Konfiguration soll jedoch in Polen und anderen Ländern weit verbreitet sein.

Die Angriffskette begann mit der Kompromittierung eines über das Internet erreichbaren Fortinet-VPN-/Firewall-Geräts in einem Windpark. Im selben Netzwerk entdeckten die Angreifer einen Mobilfunkrouter von Teltonika und erlangten Zugriff auf dessen Administrationsoberfläche.

Über den SSH-Dienst des Routers richteten sie einen Tunnel zu einer privaten APN ein, die vom Distribution System Operator (DSO) betrieben wurde. Dieses Netzwerk verband das SCADA-System des Netzbetreibers mit den ICS-Systemen der Umspannwerke.

Über diesen Pfad konnten die Angreifer eine Wago-SPS im KWK-Kraftwerk identifizieren. Der auf dem Gerät aktive SSH-Dienst wurde anschließend als Zugangspunkt zu den OT-Netzen der Anlage ausgenutzt.

Nach etwa einer Woche der Aufklärung erreichten die Angreifer Siemens-SPSen und versetzten sie in den Modus „Stop“. Außerdem richteten sie ein Passwort ein, um zu verhindern, dass Bediener den Betriebszustand und die Steuerungslogik ändern konnten.

Betroffene Geräte und Schäden an den Anlagen

Die Operation betraf Komponenten mehrerer Hersteller:

• Fortinet-Geräte, die als VPN und Firewall eingesetzt wurden;
• Mobilfunkrouter von Teltonika;
• eine Wago-SPS als Gateway zum OT-Netz;
• Siemens-SPSen, die in den Modus „Stop“ versetzt wurden;
• serielle Server und Switches von Moxa, die für Bediener nicht mehr erreichbar waren;
• Frequenzumrichter von ABB und Schneider Electric.

Welche Aktionen an den Geräten von ABB und Schneider Electric ausgeführt wurden, ist nicht bekannt. Einige Verbindungsversuche blieben erfolglos.

Der Wago-Controller wurde durch die Beschädigung der Partitionstabelle beeinträchtigt. Ein Zurücksetzen auf die Werkseinstellungen löste das Problem nicht: Das Gerät startete nicht mehr und enthielt keine für die Untersuchung verwertbaren Protokolle.

Das Personal setzte die betroffenen SPSen auf die Werkseinstellungen zurück und lud anschließend die Steuerungslogik aus Backups erneut auf die Geräte. Dadurch ließ sich die Ausfallzeit reduzieren, das Wago-Gateway konnte jedoch nicht wiederhergestellt werden.

Der Vorfall ist Teil einer größeren Kampagne. Der im Dezember 2025 bekannt gewordene vorherige Angriff betraf rund 30 Standorte, darunter KWK-Kraftwerke sowie Dispatching-Zentren für Wind- und Solaranlagen. Auch damals wurden ICS-Systeme kompromittiert und einige Geräte beschädigt, ohne dass es zu Stromausfällen kam.

Erforderliche Maßnahmen zur Risikoreduzierung

Organisationen, die Mobilfunkrouter und private APNs einsetzen, sollten exponierte oder aus dem internen Netzwerk erreichbare Administrationsschnittstellen besonders sorgfältig schützen. Die Versionen der betroffenen Produkte wurden nicht bekannt gegeben.

Zu den in der Analyse genannten Maßnahmen gehören:

• SSH deaktivieren, wenn es nicht benötigt wird, oder den Zugriff auf autorisierte Adressen und Konten beschränken;
• private APNs, SCADA-, ICS- und OT-Netze strikt voneinander trennen;
• verhindern, dass ein Mobilfunkrouter als Brücke zu kritischen industriellen Systemen dient;
• prüfen, ob SPSen, Gateways und Netzwerkgeräte vorhanden sind, die per SSH administriert werden können;
• Offline-Backups der Konfigurationen und SPS-Logik vorhalten;
• ungewöhnliche Zugriffe auf Router, unerwartete Tunnel und laterale Verbindungen zwischen Managementnetzwerken und Industriesystemen überwachen.

Das wiederholte Auftreten ähnlicher Architekturen in mehreren Ländern vergrößert das Risiko über die einzelne Anlage hinaus: Eine private APN, die zur Erleichterung der Konnektivität konzipiert wurde, kann bei unzureichender Segmentierung zu einem direkten Pfad in die Betriebsumgebung werden.