BlackEnergy

Wat is BlackEnergy?

BlackEnergy is een modulaire Windows-malwarefamilie die sinds 2007 bestaat, begon als toolkit voor DDoS-botnets en uitgroeide tot het toegangsmiddel van de Russische groep Sandworm bij de cyberaanval op het Oekraïense elektriciteitsnet van 23 december 2015. Bij die aanval zaten circa 225.000 klanten van drie regionale netbeheerders 1 tot 6 uur zonder stroom: de eerste publiek bevestigde stroomstoring door een cyberaanval. BlackEnergy zelf opende daarbij geen schakelaars; het gaf de aanvallers toegang en inloggegevens, waarna zij via de bestaande SCADA-software handmatig stroomonderbrekers uitschakelden. Daarmee werd BlackEnergy het schoolvoorbeeld van een aanval die via IT begint en in de OT fysieke schade aanricht, en een keerpunt in de industriële cybersecurity.

🕰️ Hoe heeft BlackEnergy zich ontwikkeld?

BlackEnergy kende drie generaties, die steeds meer van criminele tool naar spionage- en sabotagemiddel verschoven:

In MITRE ATT&CK staat BlackEnergy als software S0089, gekoppeld aan Sandworm Team (G0034) en de campagne “2015 Ukraine Electric Power Attack” (C0028). In MITRE ATT&CK for ICS zijn de technieken van die campagne uitgewerkt, van spearphishing tot het uitschakelen van UPS’en.

🖥️ Welke rol speelde BlackEnergy al vóór 2015 in OT?

In oktober 2014 waarschuwde het Amerikaanse ICS-CERT (nu onderdeel van CISA) dat BlackEnergy al sinds minstens 2011 werd ingezet tegen industriële HMI-software. De campagne richtte zich op:

• GE CIMPLICITY - via kwetsbaarheid CVE-2014-0751 op HMI’s die rechtstreeks aan internet hingen
• Advantech/Broadwin WebAccess - eveneens vaak direct vanaf internet bereikbaar
• Siemens WinCC - met aanwijzingen dat een inmiddels gepatchte kwetsbaarheid werd misbruikt

ICS-CERT vond toen geen pogingen om processen te verstoren. De les was wel duidelijk, en typerend voor OT-convergentie: de aanvallers verkenden ICS-omgevingen jaren voordat zij toesloegen. Internetblootgestelde HMI’s waren de eerste ingang.

⚡ Wat gebeurde er op 23 december 2015?

Op 23 december 2015 vielen bij drie Oekraïense distributienetbeheerders (oblenergo’s), Prykarpattyaoblenergo, Kyivoblenergo en Chernivtsioblenergo, binnen een half uur tientallen onderstations uit. De netbeheerders moesten overschakelen op handbediening. De aanval was maanden voorbereid:

1. Initiële toegang via spearphishing - vanaf het voorjaar van 2015 ontvingen medewerkers e-mails met Office-bijlagen waarvan de macro’s BlackEnergy 3 installeerden.
2. Verkenning en diefstal van inloggegevens - de aanvallers bewogen zich door het kantoornetwerk, namen de Active Directory over en verzamelden domein- en VPN-accounts.
3. Laterale beweging naar OT - met legitieme accounts logden zij via de VPN in op het SCADA-netwerk van de distributie, dat onvoldoende gescheiden was van de kantoor-IT.
4. Schakelen via de HMI - operators zagen hun muiscursor bewegen terwijl de aanvallers via remote access en bestaande SCADA-clients stroomonderbrekers in onderstations openden.
5. Herstel saboteren - de firmware van serieel-naar-ethernetconverters in onderstations werd overschreven, waardoor die op afstand niet meer bereikbaar waren; de UPS’en van servers werden via hun beheerinterface uitgeschakeld.
6. Sporen wissen - de wiper KillDisk wiste bestanden en de master boot record van werkstations en servers, ook van Windows-HMI’s in RTU’s.
7. Klantcontact blokkeren - een telefonische denial-of-service bestookte het callcenter, zodat klanten storingen niet konden melden.

De Amerikaanse E-ISAC en SANS publiceerden op 18 maart 2016 de bekendste analyse van dit incident. In oktober 2020 klaagde het Amerikaanse ministerie van Justitie zes officieren van GRU-eenheid 74455 (Sandworm) aan, onder meer voor deze aanval.

🧠 Waarom was niet de malware, maar het misbruik van legitieme functies het probleem?

Het opvallendste aan de aanval is dat er geen exotische ICS-malware nodig was. BlackEnergy werd bij alle drie de netbeheerders aangetroffen, maar volgens ICS-CERT werden geen specifieke BlackEnergy-functies gebruikt om de stroom uit te schakelen. De aanvallers deden wat een operator ook kan: inloggen, een onderstation selecteren en een stroomonderbreker openen.

Dat maakt BlackEnergy anders dan Stuxnet of Industroyer: de malware was een IT-instrument, de sabotage was handwerk via de bestaande SCADA-software en RTU’s, zonder eigen code op PLC’s of RTU’s.

🔄 Wat is het verschil tussen BlackEnergy en Industroyer?

Een jaar later, op 17 december 2016, sloeg Sandworm opnieuw toe in Oekraïne, nu met Industroyer op onderstation Pivnichna bij Kyiv.

Beide aanvallen tonen aan dat kritieke infrastructuur een actief doelwit is. Sandworm zette in 2017 ook NotPetya in, met wereldwijde schade.

🔐 Hoe beschermt u uw OT-omgeving tegen een BlackEnergy-achtige aanval?

De maatregelen uit de ICS-CERT-waarschuwing van 2016 zijn nog altijd de kern van Defense in Depth:

• Scheid IT en OT - netwerksegmentatie volgens het Purdue Model en het Zone and Conduits-model uit IEC 62443, met een industriële firewall of een datadiode voor eenrichtingsverkeer.
• Beperk remote access - geen permanente leveranciersverbindingen, toegang alleen op verzoek en tijdgebonden, altijd met MFA en via een jump server.
• Aparte identiteiten - geen domeinvertrouwen tussen kantoor-AD en OT; Zero Trust-principes voor beheeraccounts.
• Application Whitelisting - vooral op HMI’s, engineeringstations en servers met een vaste configuratie.
• Monitoring - integratie van IT- en OT-security met OT-monitoring en IDS die nieuwe VPN-sessies, ongebruikelijke schakelopdrachten en firmware-uploads zien, gekoppeld aan een SIEM. Platforms als Claroty, Nozomi en Dragos zijn hierop gericht.
• Herstelbaarheid - offline back-ups van servers en configuraties, reserve-converters en een geoefend draaiboek voor handbediening.
• OT-bewuste incidentrespons - in OT kunt u systemen vaak niet direct uitzetten, omdat fysieke processen doorlopen en veiligheid voorgaat; leg daarom vooraf vast wie mag isoleren en wanneer, met operations, engineering, IT-security en het SOC aan tafel.

Nederlandse en Europese context

In Nederland verplicht de Cyberbeveiligingswet, de omzetting van NIS2 die op 15 augustus 2026 in werking trad, netbeheerders en andere essentiële entiteiten tot zorgplicht en meldplicht. De BlackEnergy-aanval is een standaardscenario in risicoanalyses volgens NIST SP 800-82 en IEC 62443; in Noord-Amerika leidde hij tot extra aandacht voor NERC CIP. Een organisatie met ISO 27001 moet die OT-scenario’s expliciet in haar risicobeoordeling opnemen.

🧪 Hoe ziet een toets op BlackEnergy-weerbaarheid eruit?

Een regionale netbeheerder of drinkwaterbedrijf kan in vijf stappen nagaan of een aanval als die van 2015 bij hem zou slagen:

1. Volg het pad - kan een gecompromitteerd kantoorwerkstation via VPN, gedeelde accounts of AD rechtstreeks SCADA bereiken?
2. Inventariseer remote access - welke VPN’s en leveranciersverbindingen bestaan er, en hebben ze allemaal MFA?
3. Controleer beheerinterfaces - zijn UPS’en, converters en switches alleen vanuit een beheerzone bereikbaar, met segmentatie tussen kantoor, OT en beheer?
4. Test herstel - kan de organisatie een dag op handbediening draaien en HMI’s vanuit back-ups herstellen?
5. Oefen - doe een tabletop-oefening met operations, engineering en het incident response-team op basis van het 2015-scenario.

❓ Veelgestelde vragen

Is BlackEnergy een virus voor PLC’s?

Nee, BlackEnergy is Windows-malware die op kantoorcomputers, servers en HMI’s draait, niet op PLC’s of RTU’s. In de aanval van 2015 gaf BlackEnergy de aanvallers toegang en inloggegevens, waarna zij de stroomonderbrekers handmatig via de bestaande SCADA-software uitschakelden.

Wie zit achter BlackEnergy?

BlackEnergy 1 werd in 2007 als criminele DDoS-toolkit verkocht. De latere aanvallen met BlackEnergy 3 op Oekraïne worden toegeschreven aan Sandworm, GRU-eenheid 74455 van de Russische militaire inlichtingendienst, die de VS in 2020 formeel aanklaagde.

Hoeveel mensen waren getroffen door de BlackEnergy-aanval?

Bij de BlackEnergy-aanval van 23 december 2015 zaten ongeveer 225.000 klanten van drie Oekraïense netbeheerders 1 tot 6 uur zonder stroom. De netbeheerders werkten daarna nog maanden deels met handbediening, omdat apparatuur in onderstations onbruikbaar was gemaakt.

Wat is KillDisk?

KillDisk is een wiper die bestanden en de master boot record van Windows-systemen vernietigt. Bij de BlackEnergy-aanval van 2015 werd KillDisk na het schakelen gebruikt om werkstations, servers en HMI’s onbruikbaar te maken en het herstel te vertragen.

Is BlackEnergy nog actief?

BlackEnergy zelf speelt in recente aanvallen nauwelijks nog een rol; Sandworm stapte over op Industroyer, NotPetya en latere wipers. De werkwijze van de BlackEnergy-aanval, phishing, gestolen accounts en misbruik van legitieme OT-software, is echter nog altijd actueel.

Welke maatregel helpt het meest tegen een BlackEnergy-achtige aanval?

Tegen een BlackEnergy-achtige aanval helpt vooral een strikte scheiding tussen IT en OT, gecombineerd met MFA op alle remote access. Zonder rechtstreekse VPN-toegang met gestolen domeinaccounts hadden de aanvallers van 2015 de SCADA-omgeving niet zo eenvoudig bereikt.

📌 Samengevat

BlackEnergy is de malware die in 2015 de deur opende voor de eerste bevestigde stroomstoring door een cyberaanval, waarbij circa 225.000 Oekraïense klanten zonder stroom kwamen te zitten. De malware zelf stal vooral toegang en inloggegevens; de echte sabotage gebeurde via legitieme VPN- en SCADA-functies. Wie zich daartegen wil wapenen, scheidt IT en OT strikt, beveiligt remote access met MFA, bewaakt bediening en firmware, en kan bij een aanval terugvallen op handbediening en offline back-ups.