Industroyer

Wat is Industroyer?

Industroyer, ook bekend als CrashOverride, is een modulair malwareframework dat schakelapparatuur in elektriciteitsonderstations rechtstreeks aanstuurt via de industriële protocollen van de energiesector, en dat op 17 december 2016 een stroomstoring in Kyiv veroorzaakte. Het was de eerste bekende malware die specifiek is ontworpen en ingezet om een elektriciteitsnet aan te vallen. Waar de aanvallers in 2015 nog zelf via de SCADA-software van het slachtoffer moesten klikken, kon Industroyer zelfstandig stroomonderbrekers openen. De aanval wordt toegeschreven aan Sandworm, een eenheid van de Russische militaire inlichtingendienst GRU. In 2022 dook een opvolger op, Industroyer2. Voor iedereen die OT in de energiesector beheert, is Industroyer daarom een referentiescenario.

🗓️ Wat gebeurde er in december 2016?

Op 17 december 2016, bijna precies een jaar na de BlackEnergy-aanval op drie Oekraïense distributiebedrijven, viel het onderstation Pivnichna van de nationale netbeheerder Ukrenergo bij Kyiv uit. Een deel van Kyiv en omgeving zat ruim een uur zonder stroom; het weggevallen verbruik wordt geschat op ongeveer een vijfde van het verbruik van de stad op dat moment.

Dragos koppelt de aanval aan de groep die het ELECTRUM noemt en die nauw verbonden is met Sandworm; ESET zag een sterke link met de groep TeleBots, die ook achter NotPetya zat. Het verschil met 2015 is wezenlijk: toen gebruikten de aanvallers bestaande SCADA-werkplekken op afstand, nu deed de malware het schakelwerk zelf.

⚙️ Hoe is Industroyer opgebouwd?

Industroyer is geen enkel programma maar een gereedschapskist van Windows-componenten, die elk één taak hebben. Daardoor konden de makers onderdelen vervangen zonder het geheel te herschrijven.

De wiper en één van de payloads waren afgestemd op producten van ABB, wat laat zien dat de makers de specifieke installatie van het slachtoffer kenden. Doordat de protocollen zelf standaard zijn, is de aanpak echter niet aan Oekraïne gebonden: dezelfde protocollen draaien in onderstations in heel Europa.

🌐 Waarom kon Industroyer via standaardprotocollen schakelen?

De protocollen waar Industroyer gebruik van maakte, zijn ontworpen in een tijd waarin het netwerk als vertrouwd gold. Een RTU of IED voert een geldig commando uit, ongeacht wie het stuurt.

Het kernprobleem is dat IEC 104 en vergelijkbare protocollen geen authenticatie of encryptie kennen. Wie eenmaal in het netwerk zit en het adresplan kent, kan dus net zo schakelen als het controlecentrum, of opgenomen berichten opnieuw afspelen in een replay-aanval. De beveiligingsuitbreiding IEC 62351 voegt authenticatie toe, maar is in bestaande onderstations nog lang niet overal ingevoerd. Beveiliging moet daarom uit de architectuur komen: netwerksegmentatie, industriële firewalls met protocolinspectie en netwerkmonitoring.

🔐 Was Industroyer gericht op fysieke schade?

Een opvallend onderdeel is de DoS-tool tegen Siemens SIPROTEC-relais. Beveiligingsrelais schakelen bij een kortsluiting of overstroom een veld af om transformatoren en lijnen te beschermen. In een herbeoordeling uit 2019 stelde Dragos dat de aanvallers vermoedelijk wilden dat die bescherming zou ontbreken op het moment dat de operators de stroom weer inschakelden. Dat had tot schade aan hoogspanningsapparatuur en een veel langere storing kunnen leiden.

De DoS-aanval op de relais werkte niet, volgens Dragos door een fout in de omzetting van IP-adressen waardoor de pakketten het verkeerde doel bereikten. Dragos benadrukt bovendien dat niet zeker is of het beoogde effect zou zijn bereikt, gezien de andere beveiligingen in een onderstation. Dragos zag de aanval van 2016 ook als een mogelijke proefaanval. MITRE ATT&CK for ICS beschrijft Industroyer als software S0604 met technieken als Denial of Control, Denial of View, Loss of Protection en Manipulation of Control. Dit maakt Industroyer een schoolvoorbeeld van een aanval op cyber-fysieke systemen.

🔄 Wat is het verschil tussen Industroyer en Industroyer2?

Op 8 april 2022, kort na de Russische invasie, probeerde Sandworm opnieuw stroom uit te schakelen in Oekraïne. ESET en CERT-UA vonden een nieuwe variant en noemden die Industroyer2. Volgens CERT-UA werd de aanval op tijd verijdeld.

De compilatiedatum van Industroyer2 is 23 maart 2022, wat wijst op weken voorbereiding; de aanvallers zaten volgens CERT-UA al sinds uiterlijk februari 2022 in het netwerk. De binary bevatte acht IP-adressen van apparaten en beëindigde eerst een legitiem proces, waarna het dat programma hernoemde zodat het niet automatisch opnieuw startte. In oktober 2022 ging Sandworm nog een stap verder en liet het de stroom uitvallen met de eigen MicroSCADA-software van het slachtoffer, zonder eigen OT-malware, een vorm van Living Off The Land.

🧩 Hoe verhoudt Industroyer zich tot andere ICS-malware?

Industroyer staat in een korte rij van malware die echt op industriële besturing is gericht. De tabel laat zien dat ze op verschillende niveaus van het Purdue Model ingrijpen: van de PLC-logica tot de communicatie tussen controlecentrum en veld.

Waar Stuxnet de logica in een PLC herschreef, misbruikte Industroyer de legitieme communicatie tussen controlecentrum en veldapparatuur. Dat is goedkoper en breder inzetbaar, omdat geen leverancierspecifieke code nodig is.

🛡️ Hoe beschermt u een onderstation tegen een Industroyer-achtige aanval?

Industroyer laat zien dat de aanval niet in het onderstation begint, maar in het IT-netwerk en op Windows-systemen. Een praktische aanpak volgens Defense in Depth en IEC 62443:

1. Breng uw assets en verbindingen in kaart - weet welke assets, RTU’s en IED’s IEC 104 of IEC 61850 spreken en met welke stations ze mogen communiceren.
2. Segmenteer volgens zones en conduits - scheid het controlecentrum, de onderstations en het kantoornetwerk volgens het zones-en-conduitsmodel, met een IDMZ tussen IT en OT en segmentatie tussen onderstations onderling.
3. Beperk toegang op afstand - laat beheer alleen via een jump server met MFA lopen en beveilig Active Directory, want daarmee verspreidden de wipers zich in 2022.
4. Versterk de Windows-systemen - gebruik application whitelisting op SCADA-servers en engineering stations, zodat onbekende programma’s zoals een nep-Kladblok niet starten.
5. Monitor de OT-protocollen - DPI en een OT-IDS signaleren onverwachte schakelcommando’s, nieuwe IEC 104-verbindingen of poortscans. Platforms als Claroty, Nozomi en Dragos bevatten detectieregels voor Industroyer.
6. Oefen herstel zonder IT - houd offline back-ups van configuraties en zorg dat het net handmatig te bedienen is; Oekraïense netbeheerders konden in 2015 en 2016 juist snel herstellen door handmatig te schakelen. Leg in uw incidentresponsplan vast wie mag besluiten tot handbediening, want OT-systemen kunt u niet zomaar uitschakelen zoals een gecompromitteerde laptop.

In Nederland vallen netbeheerders onder NIS2, zoals omgezet in de Cyberbeveiligingswet, die zorgplicht en meldplicht voorschrijft. In Noord-Amerika gelden voor hetzelfde doel de NERC CIP-standaarden, en NIST SP 800-82 geeft algemene richtlijnen voor ICS-beveiliging. ISO 27001 dekt de IT-kant van hetzelfde managementsysteem. Een SOC met OT-kennis en threat intelligence over APT-groepen zoals Sandworm maakt monitoring pas echt effectief.

❓ Veelgestelde vragen

Is Industroyer hetzelfde als CrashOverride?

Ja, Industroyer en CrashOverride zijn twee namen voor dezelfde malware. ESET noemde de malware Win32/Industroyer, Dragos publiceerde tegelijk een analyse onder de naam CRASHOVERRIDE. MITRE ATT&CK for ICS gebruikt Industroyer als hoofdnaam.

Wie zit achter Industroyer?

Industroyer wordt toegeschreven aan Sandworm, eenheid 74455 van de Russische militaire inlichtingendienst GRU. Dragos volgt de betrokken activiteit als ELECTRUM, een groep die nauw verbonden is met Sandworm. In oktober 2020 klaagden de Verenigde Staten zes officieren van deze eenheid aan, onder meer voor de aanval op het Oekraïense stroomnet.

Kan Industroyer ook in Nederland of de EU worden ingezet?

Industroyer zelf is afgestemd op de Oekraïense doelwitten, maar de gebruikte protocollen IEC 60870-5-104 en IEC 61850 zijn standaard in Europese elektriciteitsnetten. Een aanvaller met toegang tot het OT-netwerk en kennis van het adresplan kan dus dezelfde aanpak volgen. Daarom zijn segmentatie en protocolmonitoring bij Nederlandse netbeheerders essentieel.

Waarom is Industroyer gevaarlijker dan BlackEnergy?

Bij de BlackEnergy-aanval van 2015 schakelden aanvallers handmatig via de SCADA-software van het slachtoffer. Industroyer automatiseerde dat schakelwerk via industriële protocollen en kon op een ingesteld tijdstip zelfstandig toeslaan. Daardoor is Industroyer schaalbaarder en minder afhankelijk van menselijke operators.

Hoe detecteert u Industroyer in een OT-netwerk?

Industroyer is te detecteren met OT-netwerkmonitoring die IEC 104-, IEC 61850- en OPC-verkeer inhoudelijk analyseert. Signalen zijn onverwachte schakelcommando’s, verbindingen vanaf een onbekend Windows-systeem, poortscans en verkeer naar het Tor-netwerk. Detectieregels voor Industroyer zitten in de meeste OT-monitoringplatforms en publieke YARA- en IDS-regelsets.

Bestaat Industroyer nog steeds als dreiging?

De oorspronkelijke Industroyer wordt niet meer gebruikt, maar de aanpak leeft voort in Industroyer2 uit 2022 en in aanvallen die legitieme SCADA-software misbruiken. Sandworm is sinds 2022 juist actiever geworden tegen onder meer energie- en telecombedrijven. Industroyer blijft daarom een belangrijk scenario voor risicoanalyses in de energiesector.

📌 Samengevat

Industroyer (CrashOverride) is de eerste malware die specifiek is gebouwd om een stroomnet aan te vallen: op 17 december 2016 opende de malware via IEC 104, IEC 101, IEC 61850 en OPC DA schakelaars in een onderstation bij Kyiv. De les voor OT-convergentie en kritieke infrastructuur is dat protocollen zonder authenticatie alleen veilig zijn binnen een goed gesegmenteerd en bewaakt netwerk. Security en cybersecurity in de energiesector vragen daarom om Defense in Depth, zero trust voor toegang en monitoring die OT-protocollen begrijpt, in samenwerking tussen IT, OT en het ICS-team.