Ein groß angelegter Einbruch in Kühlsysteme von rund 700 Supermärkten in Frankreich führte zum Ausfall von Kühlschränken und Gefriergeräten. In einigen von ihnen stiegen die Temperaturen auf bis zu 50 Grad Celsius. Dadurch wurden nicht näher bezifferte Mengen an Lebensmitteln beschädigt und in einigen elektrischen Anlagen Brände ausgelöst.
Die Angreifer zielten auf mit dem Internet verbundene Steuergeräte, die Technikern die Fernverwaltung der Kühlsysteme in den Geschäften ermöglichen. Nach dem Eindringen aktivierten sie die Abtaufunktionen über längere Zeiträume, wodurch die Temperaturen anstiegen, anstatt die Kühlkette aufrechtzuerhalten. Auch aus Spanien, Portugal, Polen, Deutschland und Belgien wurden mit dem Vorfall verbundene Auswirkungen gemeldet.
Bekannte Schwachstellen in alten Geräten
Forschungsberichten und öffentlichen Sicherheitswarnungen zufolge umfassten die betroffenen Geräte Modelle des dänischen Unternehmens Danfoss sowie von Dixell und dessen US-Muttergesellschaft Copeland. Modelle von Danfoss-Steuereinheiten verwendeten bis vor Kurzem ein tägliches Passwort, das auf Grundlage des Datums innerhalb der zur Analyse verfügbaren Firmware erzeugt wurde. Da das Passwort bei Modellen in Hunderten oder Tausenden Geschäften identisch war, konnte es auf Geräten, die kein aktuelles Update erhalten hatten, reproduziert werden.
Auch Copeland- und Dixell-Einheiten wiesen kritische Schwachstellen auf, die in den vergangenen Monaten behoben wurden und einen Fernzugriff mit Berechtigungen ermöglichten, die denen von Administratoren ähnelten. Dies deutet darauf hin, dass das Problem nicht in der Fernverbindung an sich lag, sondern darin, dass alte Geräte betrieben und zugleich aus dem öffentlichen Internet erreichbar gelassen wurden.
Was hätte praktisch verhindert werden können?
Forscher von Pen Test Partners erklärten, grundlegende Maßnahmen hätten den Ausgang des Vorfalls verändern können. Dazu gehörten, die Steuergeräte aus dem öffentlichen Internet zu entfernen, den Fernzugriff hinter einem VPN und einer Liste zugelassener IP-Adressen zu platzieren, bekannte oder standardmäßige Zugangsdaten zu ändern und die Software auf aktuelle Versionen zu aktualisieren.
Die Forscher betonten außerdem, dass Geräte von Drittanbietern auf dokumentierte Weise und unter der Kontrolle des Unternehmens in dessen Netzwerk eingebunden werden müssten, anstatt sie über eine Verbindung eines externen Auftragnehmers zu betreiben. Claroty hatte im vergangenen Oktober vor den Risiken einer Missachtung dieser Maßnahmen gewarnt, während die US-amerikanische Cybersecurity and Infrastructure Security Agency CISA im Februar eine ähnliche Warnung herausgab.
Verantwortliche Stelle und offene Lehren
Die für den Angriff verantwortliche Stelle hat sich nicht dazu bekannt. Daher bleiben die Motive offen: möglich sind sowohl groß angelegte Sabotage als auch ein grenzüberschreitender Störangriff durch eine internationale oder staatliche Akteursgruppe. Copeland räumte eine Schwachstelle in einer eingestellten und nicht mehr unterstützten Generation von Steuergeräten ein und erklärte, man arbeite mit Kunden daran, ähnliche Vorfälle zu verhindern. Danfoss antwortete Ars Technica zunächst nicht auf Fragen; dabei wurde darauf hingewiesen, dass auch eingestellte Modelle Gegenstand der Diskussion waren.
Die Bedeutung des Vorfalls liegt darin, dass er zeigt, wie sich ein kleines Industriegerät, das mit veralteter Software und einem exponierten Zugang betrieben wird, in einen unmittelbaren operativen Angriffspunkt für Bestände und die Sicherheit von Anlagen verwandeln kann. Die Quelle klärt jedoch weder die Zahl der kompromittierten Geräte noch den endgültigen Wert der Verluste. Auch die Identität oder das Motiv des Angreifers sind bislang nicht nachgewiesen.