Национальное агентство Франции по безопасности информационных систем (ANSSI) сообщило, что кибератака, нарушившая работу систем охлаждения в сотнях крупных магазинов, затронула контроллеры Copeland и её бренда Dixell, а также системы Danfoss, ставшие предметом первоначального предупреждения. По словам министра финансов Франции Ролана Лескюра, пострадало около 700 магазинов из примерно 10 тысяч магазинов в стране.
Расширение круга затронутых систем
Французский центр реагирования на компьютерные чрезвычайные ситуации ANSSI, CERT-FR, 12 октября предупредил о взломах, затронувших контроллеры Danfoss AK-SM и AK-SC. На следующий день центр обновил предупреждение, включив в него системы Copeland XWEB и Dixell XWEB. Позднее Copeland подтвердила наличие уязвимости, заявив, что работает с пострадавшими клиентами над снижением рисков.
Летом компания Claroty раскрыла уязвимости в Danfoss AK-SM 800A, а также 23 уязвимости в устройстве Copeland XWEB Pro; Copeland выпустила обновление встроенного ПО для устранения этих недостатков. Однако CERT-FR, французские власти и Danfoss прямо не связали текущие атаки ни с одной из этих уязвимостей.
Старые устройства и операционные потери
Danfoss сообщила, что большинство затронутых устройств — это старые блоки AK-SM 800 и AK-SC 355, достигшие конца эксплуатационного срока и больше не получающие обновлений безопасности. Компания прекратила поддержку AK-SM 800 в мае 2021 года, а поддержку AK-SC 355 — в 2016 году. Кроме того, пострадали некоторые более новые блоки AK-SM 800A, работавшие на старых версиях программного обеспечения.
Среди пострадавших магазинов были сети Carrefour, Coopérative U, E.Leclerc, Intermarché и Monoprix. Les Mousquetaires, владеющая Intermarché, сообщила, что пострадало около 150 магазинов: температура в холодильных установках достигала 50 градусов по Цельсию в течение шести часов, что привело к утилизации всех находившихся в них продуктов питания. Carrefour сообщила о 80 пострадавших магазинах, а Coopérative U — о 80 атакованных магазинах; при этом меньшему числу магазинов пришлось уничтожить товары. Два магазина в регионе Эльзас понесли совокупные убытки в размере 270 тысяч евро.
По сообщениям, злоумышленники увеличили продолжительность циклов разморозки с одного часа до восьми, что привело к задержке предупреждений. Парижская прокуратура также сообщила о пожарах наряду с потерями продовольствия и открыла расследование через подразделение по борьбе с киберпреступностью.
Что меняется на практике?
CERT-FR рекомендовал операторам затронутых контроллеров отключить их от интернета и не восстанавливать удалённый доступ иначе как через защищённую сеть или безопасный VPN. Агентство считает ограничение соединений IP-адресами лишь временной экстренной мерой. Для устройств, достигших конца эксплуатационного срока, сброса к заводским настройкам будет недостаточно: они останутся уязвимыми, если вновь будут доступны через интернет.
11 октября Censys обнаружила около 3 000 панелей управления Danfoss StoreView, доступных из интернета, в том числе более 1 800 во Франции. К 14 октября их число во Франции сократилось до 537, тогда как за её пределами осталось примерно на прежнем уровне. Обновлённые и необновлённые версии исчезали примерно с одинаковой частотой, что указывает на то, что многие операторы отключили устройства, а не обновили их.
Открытые вопросы
Ни одна сторона не заявила о своей ответственности за атаку, требования выкупа не появлялись, а способ получения злоумышленниками доступа остаётся неясным. Компания Sekoia сообщила о пострадавших магазинах в Испании, Португалии, Польше, Германии и Бельгии, не предоставив дополнительных подробностей. Инцидент также поднимает вопрос об ответственности за критически важные операционные системы, которыми управляют поставщики: Les Mousquetaires заявила, что системы охлаждения обслуживались Danfoss, а подача жалобы лежит на поставщике.