DynoWiper-skadlig programvara

Under den sista veckan i december 2025 tillskrevs den ryska nationalstatliga hackergruppen, allmänt känd som Sandworm, vad som har beskrivits som det största cyberattackförsöket som någonsin registrerats mot Polens elsystem. Händelsen utspelade sig under årets sista dagar och erkändes offentligt av nationella myndigheter som det mest intensiva angreppet på landets energiinfrastruktur på flera år.

Trots operationens omfattning och sofistikering misslyckades attacken. Polens energiminister, Milosz Motyka, bekräftade att inga störningar i elförsörjningen observerades.

Kritisk infrastruktur under direkt digital beskjutning

Attackerna, som upptäcktes den 29 och 30 december 2025, riktades mot två kraftvärmeverk (CHP) och mot ett system som ansvarar för att hantera el genererad från förnybara källor, inklusive vindkraftverk och solcellsparker. Militära cyberrymdsstyrkor karakteriserade aktiviteten som den starkaste fientliga cyberkampanjen mot polsk energiinfrastruktur på senare tid.

Forskare som analyserade händelsen rapporterade inga bevis för att sabotageförsöket hade någon operativ inverkan.

DynoWiper framträder som ett nytt destruktivt verktyg

Enligt en nyligen publicerad rapport från informationssäkerhetsspecialister involverade operationen en tidigare odokumenterad raderingsskadlig programvara vid namn DynoWiper, även spårad som Win32/KillFiles.NMO. Tillskrivningen till Sandworm baseras på tekniska och beteendemässiga överlappningar med tidigare destruktiva kampanjer kopplade till samma motståndare, särskilt de som genomfördes efter Rysslands fullskaliga invasion av Ukraina i februari 2022.

Torkaren användes som en del av ett samordnat försök att störa Polens energisektor, vilket signalerar fortsatta investeringar från hotaktören i specialbyggda verktyg utformade för infrastruktursabotage.

Regeringens svar och regulatoriska motåtgärder

Polska myndigheter uppgav att alla indikatorer pekar på grupper som är direkt kopplade till ryska tjänster. Som svar på detta förbereder regeringen ytterligare skyddsåtgärder, inklusive utveckling av viktig cybersäkerhetslagstiftning. De planerade åtgärderna förväntas införa strängare krav på riskhantering, skydd av både informationsteknologiska (IT) och operativa system (OT) samt hantering av cyberincidenter som påverkar kritiska tjänster.

Ett symboliskt datum med historisk resonans

Tidpunkten för aktiviteten hade särskild betydelse. Försöket till intrång i det polska elnätet sammanföll med tioårsdagen av Sandworms banbrytande attack mot Ukrainas elnät i december 2015. Den tidigare kampanjen utnyttjade skadlig programvara BlackEnergy för att distribuera en destruktiv komponent som kallas KillDisk, vilket utlöste strömavbrott som varade i fyra till sex timmar och lämnade ungefär 230 000 invånare i Ivano-Frankivsk-regionen utan el.

Ett decennium av ihållande störningar

Sandworm har en lång erfarenhet av att rikta in sig på kritisk infrastruktur, särskilt i Ukraina. Tio år efter strömavbrottet 2015 fortsätter gruppen att sträva efter banbrytande mål inom flera sektorer.

I juni 2025 avslöjade forskare att en ukrainsk kritisk infrastrukturorganisation hade drabbats av en tidigare osynlig datarensande skadlig kod kallad PathWiper, som uppvisade funktionella likheter med HermeticWiper, ett annat verktyg relaterat till Sandworm. Under samma år observerades gruppen också distribuera ytterligare destruktiva skadliga programfamiljer, inklusive ZEROLOT och Sting, inom ett ukrainskt universitetsnätverk, följt av en bredare våg av datarensande attacker mot ukrainska myndigheter, energi-, logistik- och spannmålssektorns enheter mellan juni och september 2025.

Strategiska konsekvenser för energisektorns försvar

Försöket till intrång i Polens energisystem förstärker bedömningen att Sandworm fortfarande fokuserar på cyberoperationer som kan ge konsekvenser i den fysiska världen. Framväxten av DynoWiper, tillsammans med en växande katalog av torkare, belyser den fortsatta utvecklingen av destruktiv skadlig programvara och understryker hur brådskande det är för energileverantörer att stärka motståndskraft, övervakning och samordnade responsmekanismer i både IT- och OT-miljöer.