Массовый взлом систем охлаждения примерно в 700 супермаркетах во Франции привёл к отказу холодильников и морозильников, а температура внутри некоторых из них поднялась до 50 градусов Цельсия. Это вызвало порчу неопределённого количества продуктов и пожары в некоторых электрических системах.
Злоумышленники атаковали подключённые к интернету блоки управления, которые позволяют техническим специалистам удалённо управлять системами охлаждения в магазине. После взлома они на длительное время включили функции размораживания, из-за чего температура повысилась вместо поддержания холодовой цепи. О связанных с инцидентом последствиях также сообщалось в Испании, Португалии, Польше, Германии и Бельгии.
Известные уязвимости в устаревших устройствах
Согласно исследовательским отчётам и общедоступным предупреждениям по безопасности, среди затронутых устройств были модели датской Danfoss, Dixell и материнской компании Copeland из США. В моделях блоков Danfoss до недавнего времени использовался ежедневный пароль, генерируемый на основе даты во встроенном программном обеспечении, доступном для анализа. Поскольку пароль был одинаковым для моделей, установленных в сотнях или тысячах магазинов, его можно было воспроизвести на устройствах, не получивших недавнее обновление.
Блоки Copeland и Dixell также содержали критические уязвимости, исправленные в последние месяцы. Они позволяли получать удалённый доступ с правами, аналогичными правам администраторов. Это указывает на то, что проблема заключалась не в самом наличии удалённого подключения, а в эксплуатации устаревших устройств, остававшихся доступными из общего интернета.
Что можно было практически предотвратить?
Исследователи из Pen Test Partners заявили, что базовые меры могли изменить исход инцидента. Среди них — удаление блоков управления из общего интернета, размещение удалённого доступа за VPN и списком разрешённых IP-адресов, изменение известных или стандартных учётных данных и обновление программного обеспечения до актуальных версий.
Исследователи также подчеркнули необходимость вводить оборудование третьих сторон в сеть организации документированным способом и под её контролем, а не оставлять его подключённым через соединение, принадлежащее внешнему подрядчику. Claroty предупреждала о рисках игнорирования этих мер в октябре прошлого года, а Агентство США по кибербезопасности и безопасности инфраструктуры CISA выпустило аналогичное предупреждение в феврале.
Ответственная сторона и открытые вопросы
Сторона, стоящая за атакой, не заявила о своей ответственности, поэтому её мотивы остаются неясными: речь может идти как о масштабной диверсии, так и о трансграничной операции по нарушению работы, проведённой международной или государственной структурой. Copeland признала наличие уязвимости в поколении блоков управления, снятом с производства и лишённом поддержки, и заявила, что работает с клиентами над предотвращением аналогичных инцидентов. Danfoss не сразу ответила на вопросы Ars Technica; при этом отмечалось, что обсуждались также снятые с производства модели.
Значение инцидента заключается в том, что он показывает, как небольшое промышленное устройство при управлении устаревшим программным обеспечением и открытом доступе может превратиться в точку непосредственного операционного воздействия на запасы и безопасность объектов. Однако источник пока не устанавливает число взломанных устройств или окончательный размер убытков, а также не подтверждает личность нападавшего или его мотив.