Nach Angaben von CERT.PL lief der zweite Angriff parallel zu der bereits offengelegten Attacke auf rund 30 Standorte, darunter Heizkraftwerke sowie Leitstellen für Wind- und Solaranlagen. Für diese frühere Angriffswelle machte die Behörde Bedrohungsakteure mit Verbindungen zur russischen Regierung verantwortlich, konkret die APT-Gruppe Sandworm. Damals drangen die Angreifer zwar in industrielle Steuerungssysteme ein, attackierten aber vor allem Überwachungs- und Stabilitätssysteme des Netzes statt aktiver Stromerzeugungssysteme. Einige ICS-Geräte wurden dabei dauerhaft beschädigt, Stromausfälle gab es jedoch nicht.
Der nun beschriebene zweite Vorfall betraf ein kleineres Heizkraftwerk. Die Attacke ereignete sich während Wartungsarbeiten, weshalb zunächst ein technischer Fehler von Ingenieuren als Ursache der Störung vermutet wurde. CERT.PL stellte jedoch bald fest, dass es sich um eine Hackerattacke handelte.
Der Einstieg begann laut Bericht über ein mit dem Internet verbundenes Fortinet-VPN- und Firewall-Gerät an einem Windpark. Von dort identifizierten die Angreifer einen Teltonika-Mobilfunkrouter im selben Netz und verschafften sich Zugriff auf dessen Administrationsoberfläche. Über einen auf dem Gerät laufenden SSH-Dienst richteten sie anschließend einen Tunnel ein, der die Kommunikation in ein privates APN-Netz ermöglichte, das vom Verteilnetzbetreiber verwaltet wurde.
Diese privaten APN-Netze dienen der Kommunikation zwischen dem SCADA-System des Verteilnetzbetreibers und den in Umspannwerken installierten industriellen Steuerungssystemen. Innerhalb dieses privaten APN-Netzes scannten die Angreifer laut CERT.PL die erreichbaren Systeme und identifizierten eine speicherprogrammierbare Steuerung von Wago in einem Heizkraftwerk. Ein aktivierter SSH-Dienst auf dieser Steuerung eröffnete ihnen Zugriff auf die OT-Netze der Anlage.
Nach einer einwöchigen Aufklärungsphase verbanden sich die Täter mit Siemens-SPSen, schalteten sie in den Stopp-Modus und setzten ein Passwort, damit Betreiber weder den Betriebszustand noch die Steuerlogik der Controller ändern konnten. Diese Maßnahmen führten zur Abschaltung der Dampfturbine und der Wasseraufbereitung. Das Personal begrenzte die Ausfallzeit, indem es die betroffenen SPSen auf Werkseinstellungen zurücksetzte und die Logik aus Sicherungen neu einspielte.
Darüber hinaus nahmen die Angreifer laut CERT.PL auch serielle Geräteserver von Moxa und Netzwerkswitches von Moxa ins Visier und konfigurierten sie so, dass legitime Betreiber nicht mehr darauf zugreifen konnten. Auch Frequenzumrichter von ABB und Schneider Electric wurden angegriffen. Welche Aktionen auf diesen Geräten tatsächlich ausgeführt wurden, ist laut Bericht unklar; einige Verbindungsversuche scheiterten.
Wie schon beim ersten Angriff auf eine Energieanlage wurden auch in diesem Fall einige kompromittierte ICS-Geräte unbrauchbar gemacht. CERT.PL zufolge wurden manche Geräte dauerhaft beschädigt, offenbar im Zuge von Versuchen der Angreifer, ihre Spuren zu verwischen. Die Behörde beschreibt, dass der als Zugangstor ins Netz genutzte Wago-Controller durch eine beschädigte Partitionstabelle unlesbar gemacht wurde. Ein Zurücksetzen auf Werkseinstellungen reparierte den Fehler nicht, das Gerät blieb nicht startfähig. Wertvolle Protokolle ließen sich bei den Untersuchungen nicht mehr aus dem Gerät gewinnen.