Кибератака Sandworm на энергосистему Польши: DynoWiper и уроки киберзащиты

В конце 2025 года энергосистема Польши подверглась серьёзной кибератаке, которую ESET Research охарактеризовала как одну из крупнейших в стране за последние годы. Инцидент привлёк внимание специалистов по кибербезопасности и органов национальной безопасности по нескольким причинам: масштаб влияния на критическую инфраструктуру, использование разрушительного вредоносного ПО и предполагаемая причастность APT-группировки, связанной с Россией, известной как Sandworm.

Как прошла атака

По данным расследования, злоумышленники применили сложное вредоносное ПО для удаления данных — DynoWiper. Это ПО функционирует как wiper: оно направлено на физическое или логическое уничтожение критически важной информации, что приводит к нарушению работы затронутых систем и серьёзным последствиям для операционной деятельности.

«ESET Research назвала инцидент крупнейшим в своём роде в стране за последние несколько лет»

Тактика злоумышленников включала не только стремление вывести из строя технические системы, но и нанесение репутационного ущерба, создание хаоса и подрыв доверия к операторам критической инфраструктуры — классические цели в рамках целенаправленных кампаний APT.

Последствия и характер угрозы

  • Деструктивный эффект: целенаправленное удаление данных приводит к длительному восстановлению сервисов и потерям операций.
  • Репутационные и социальные риски: атаки на энергетику затрагивают население, бизнес и доверие к государственным институтам.
  • Геополитическая составляющая: предполагаемая причастность Sandworm указывает на использование кибератак в рамках более широких политических и стратегических задач.

Что это означает для национальной безопасности

Инцидент подчёркивает сохраняющиеся и развивающиеся угрозы от спонсируемых государством кибер-акторов, особенно в отношении критически важных объектов: энергетики, транспорта, телекоммуникаций и других базовых служб. Использование таких инструментов, как DynoWiper, демонстрирует тенденцию к применению всё более усовершенствованных и разрушительных методов для достижения стратегических целей.

Рекомендации для усиления защиты

Эксперты и операторы критической инфраструктуры должны учитывать следующие меры (обобщённые рекомендации):

  • усиление мониторинга и обмена threat intelligence между операторами и государственными органами;
  • регулярное тестирование и обновление планов инцидент-реакции, проведение учений по восстановлению после атак типа wiper;
  • резервирование и изоляция критически важных данных — гарантированные, проверяемые backups с независимыми средами восстановления;
  • сегментация сетей и минимизация прав доступа для снижения риска распространения вредоносного ПО;
  • повышение киберграмотности персонала и своевременное закрытие известных уязвимостей в системах управления инфраструктурой.

Вывод

Атака на энергосистему Польши в конце 2025 года с применением DynoWiper и предполагаемой участием Sandworm — наглядное напоминание о том, что критическая инфраструктура остаётся приоритетной целью для высокомотивированных и технически подготовленных злоумышленников. Поскольку ландшафт киберугроз постоянно меняется, приоритетом для национальной безопасности должно быть усиление детектирования, готовности к инцидентам и коллективная защита ключевых сервисов.

Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.

Ознакомиться подробнее с отчетом можно по ссылке.

Технологии киберугроз
Автор: Технологии киберугроз
Технологии киберугроз (бренд RST Cloud Russia) – технологическая компания, специализирующаяся на решениях по анализу угроз для предприятий любого размера. Мы собираем, нормализуем, обогащаем информацию о киберугрозах со всего мира. Нашими источниками являют более 260 открытых фидов, более 100 открытых поставщиков Threat Intelligence-отчетов, открытые online sandbox, социальные сети и репозитории GitHub. Мы также предоставляем ряд сервисов по: семантическом анализу Threat Intelligence-отчетов и приведения их в машиночитаемый формат STIX 2.1, проверки IoC на потенциальные ложноположительные сработки, а также получению WHOIS-записей для доменных имен.
Комментарии: