Die französische Nationale Agentur für die Sicherheit von Informationssystemen (ANSSI) teilte mit, dass der Cyberangriff, der die Kühlsysteme in Hunderten Supermärkten lahmlegte, Steuergeräte von Copeland und deren Marke Dixell sowie Danfoss-Systeme betraf, die im Mittelpunkt der ersten Warnung standen. Nach Angaben des französischen Finanzministers Roland Lescure waren rund 700 von knapp 10.000 Geschäften im Land betroffen.
Umfang der betroffenen Systeme ausgeweitet
Das der ANSSI unterstellte Computer-Notfallreaktionszentrum CERT-FR warnte am 12. Oktober vor Angriffen auf die Steuergeräte Danfoss AK-SM und AK-SC. Am folgenden Tag aktualisierte das Zentrum seine Warnung und nahm auch die Systeme Copeland XWEB und Dixell XWEB auf. Copeland bestätigte später das Vorhandensein einer Schwachstelle und erklärte, mit den betroffenen Kunden zusammenzuarbeiten, um die Risiken zu begrenzen.
Claroty hatte im Sommer Schwachstellen im Danfoss AK-SM 800A sowie 23 Schwachstellen im Copeland XWEB Pro offengelegt. Copeland veröffentlichte ein Firmware-Update zur Behebung dieser Mängel. CERT-FR, die französischen Behörden und Danfoss stellten jedoch keinen ausdrücklichen Zusammenhang zwischen den aktuellen Angriffen und einer dieser Schwachstellen her.
Alte Geräte und betriebliche Verluste
Danfoss erklärte, dass es sich bei den meisten betroffenen Geräten um alte AK-SM-800- und AK-SC-355-Geräte handle, die das Ende ihrer Betriebslebensdauer erreicht hätten und keine Sicherheitsupdates mehr erhielten. Das Unternehmen stellte die Unterstützung für AK-SM 800 im Mai 2021 ein, während AK-SC 355 im Jahr 2016 eingestellt wurde. Betroffen waren auch einige neuere AK-SM-800A-Geräte, auf denen alte Softwareversionen liefen.
Zu den betroffenen Geschäften gehörten die Ketten Carrefour, Coopérative U, E.Leclerc, Intermarché und Monoprix. Les Mousquetaires, der Eigentümer von Intermarché, erklärte, dass rund 150 Geschäfte betroffen gewesen seien, nachdem die Temperatur der Kühleinheiten sechs Stunden lang 50 Grad Celsius erreicht habe, was zur Entsorgung sämtlicher darin befindlicher Lebensmittel geführt habe. Carrefour meldete 80 betroffene Geschäfte, während Coopérative U angab, dass 80 Geschäfte angegriffen worden seien und in einer geringeren Zahl davon Produkte vernichtet werden mussten. Zwei Geschäfte in der Region Elsass verzeichneten gemeinsame Verluste in Höhe von 270.000 Euro.
Berichten zufolge verlängerten die Angreifer die Abtauzyklen von einer Stunde auf acht Stunden, wodurch Warnungen verzögert wurden. Die Pariser Staatsanwaltschaft sprach neben den Lebensmittelverlusten auch von Bränden und leitete durch ihre Cybercrime-Einheit Ermittlungen ein.
Was ändert sich praktisch?
CERT-FR empfahl den Betreibern der betroffenen Steuergeräte, diese vom Internet zu trennen und den Fernzugriff nur über ein geschütztes Netzwerk oder ein sicheres VPN wiederherzustellen. Die Agentur bewertete die Beschränkung der Verbindungen auf IP-Adressen lediglich als vorübergehende Notfallmaßnahme. Bei Geräten, die das Ende ihrer Lebensdauer erreicht haben, werde ein Zurücksetzen auf die Werkseinstellungen nicht ausreichen, da sie weiterhin gefährdet seien, wenn sie wieder im Internet erreichbar gemacht würden.
Censys entdeckte am 11. Oktober etwa 3.000 im Internet erreichbare Danfoss-StoreView-Bedienpanels, darunter mehr als 1.800 in Frankreich. Bis zum 14. Oktober sank die Zahl in Frankreich auf 537, während die Zahl außerhalb Frankreichs ungefähr auf ihrem vorherigen Niveau blieb. Aktualisierte und nicht aktualisierte Versionen verschwanden in ähnlichem Umfang, was darauf hindeutet, dass viele Betreiber die Geräte trennten, anstatt sie zu aktualisieren.
Offene Fragen
Keine Organisation hat die Verantwortung für den Angriff übernommen, eine Lösegeldforderung wurde nicht festgestellt, und es ist weiterhin unklar, wie die Angreifer Zugang erhielten. Sekoia berichtete, dass Geschäfte in Spanien, Portugal, Polen, Deutschland und Belgien betroffen seien, nannte jedoch keine weiteren Einzelheiten. Der Vorfall wirft zudem die Frage nach der Verantwortung für sensible Betriebssysteme auf, die von Anbietern verwaltet werden. Les Mousquetaires erklärte, die Kühlsysteme seien von Danfoss verwaltet worden, und die Einreichung der Beschwerde obliege dem Anbieter.