In seinem ergänzenden Bericht konzentriert sich CERT Polska auf den Angriff auf die kleinere Kraft-Wärme-Kopplungsanlage, nicht auf eine formale Zuschreibung. Die früher bekanntgemachten Angriffe wurden im Juli offiziell dem russischen Föderalen Sicherheitsdienst zugeschrieben. Für den zusätzlich offengelegten Vorfall nimmt das Computer-Notfallteam des Landes in dem Bericht hingegen keine Attribution vor.
Marcin Dudek sagte auf der Sicherheitskonferenz DEF CON in Las Vegas, der Angriff habe sich während regulärer Wartungsarbeiten über die Weihnachtszeit ereignet. Die Betreiber machten zunächst einen Fehler eines Auftragnehmers für die Abschaltung der Dampfturbine und des Wasseraufbereitungssystems verantwortlich. Da die Störung schnell begrenzt werden konnte und die Wärmeversorgung der Kunden nicht ausfiel, war der Bericht zunächst nur zu Informationszwecken eingegangen.
Die anschließende Analyse dauerte laut CERT Polska mehr als drei Monate. Dabei rekonstruierten die Ermittler eine Angriffskette, die von bereits kompromittierten Firewalls in Umspannwerken von Windparks über einen Mobilfunk-Router in ein privates zellulares Datennetz führte. Von dort aus erreichten die Angreifer einen Controller im Heizkraftwerk, auf dem noch die werkseitigen Standard-Zugangsdaten aktiv waren.
Anschließend verschafften sich die Angreifer über diesen Pfad Zugang zu den industriellen Steuerungssystemen der Anlage. Nach Darstellung von CERT Polska bewegten sie sich damit über Einrichtungen hinweg, die außer ihrer gemeinsamen Anbindung an dasselbe private Netz keine direkte Beziehung zueinander hatten. Windparks und andere verteilte Energiestandorte kommunizieren mit Netzbetreibern über solche privaten Mobilfunknetze, die in der Branche als abgesicherte, abgeschottete Infrastruktur gelten.
Im Kraftwerk blieben die Angreifer 11 Tage lang unentdeckt und führten Aufklärung durch. Sie untersuchten Industrieanlagen, testeten Zugangsdaten gegen die Firewall der Anlage und verbanden sich am Weihnachtstag mit Controllern, um ihre Ziele zu kartieren. Vor Tagesanbruch am 29. Dezember deaktivierten sie dann die Siemens-Controller für Dampfturbine und Wasseraufbereitung und sperrten die Betreiber mit neuen Passwörtern von diesen Steuerungen aus.
Danach löschten die Angreifer mithilfe automatisierter Skripte die Konfigurationen von Netzwerkgeräten und setzten Geräteadressen auf nicht erreichbare Werte, um die Wiederherstellung zu verlangsamen. Das Personal begann etwa zwei Stunden später mit der Wiederherstellung der Systeme, während die Angreifer noch aktiv waren, und begrenzte die Auswirkungen auf eine kurze Unterbrechung.
Laut CERT Polska zerstörten die Täter entlang ihres gesamten Pfads zudem forensische Spuren. Das als Zugangspunkt zum Kraftwerk genutzte Gerät wurde so stark beschädigt, dass es nicht mehr repariert werden konnte; außerdem wurden Firewalls und Router auf dem Weg dorthin zurückgesetzt. Rekonstruieren ließ sich der Angriff nur, weil ein Router ältere Software nutzte, die Ereignisprotokolle auch nach einem Zurücksetzen auf Werkseinstellungen bewahrte.
CERT Polska warnt, die Fehlkonfiguration, die diesen Angriff ermöglichte, sei damals in Polen verbreitet gewesen und gelte vermutlich auch international als weit verbreitet. Sie erlaubte es jedem Gerät in einem privaten Mobilfunknetz, frei mit jedem anderen zu kommunizieren. Die Behörde fordert Energiebetreiber deshalb auf, private Mobilfunknetze nicht länger als vertrauenswürdige Infrastruktur zu behandeln, Netzkonfigurationen sofort zu prüfen, Standardpasswörter von angebundenen Geräten zu entfernen und diese Netze in Sicherheitsprüfungen einzubeziehen.