Fransa'da yaklaşık 700 süpermarketin soğutma sistemlerine yönelik toplu bir saldırı, buzdolapları ve dondurucuların devre dışı kalmasına, bazılarının içindeki sıcaklığın 50 santigrat dereceye yükselmesine, belirsiz miktarda gıdanın zarar görmesine ve bazı elektrik sistemlerinde yangın çıkmasına neden oldu.
Saldırganlar, teknisyenlerin mağazadaki soğutma sistemlerini uzaktan yönetmesine olanak tanıyan internete bağlı kontrol ünitelerini hedef aldı. Bu üniteleri ele geçirdikten sonra buz çözme işlevlerini uzun süre çalıştırdılar. Bu da soğuk zinciri korumak yerine sıcaklıkların yükselmesine yol açtı. Olayla bağlantılı etkiler İspanya, Portekiz, Polonya, Almanya ve Belçika'da da bildirildi.
Eski cihazlarda bilinen güvenlik açıkları
Araştırma raporlarına ve kamuya açık güvenlik uyarılarına göre etkilenen cihazlar arasında Danimarkalı Danfoss ile ABD merkezli Dixell ve ana şirketi Copeland'ın bazı modelleri bulunuyordu. Danfoss kontrol ünitelerinin bazı modelleri, yakın zamana kadar analiz edilebilen ürün yazılımında tarihe göre oluşturulan günlük bir parola kullanıyordu. Parola yüzlerce veya binlerce mağazada bulunan modeller arasında aynı olduğundan, güncel bir güncelleme almamış cihazlarda yeniden üretilebiliyordu.
Copeland ve Dixell ünitelerinde, son aylarda düzeltilen ve yöneticilerin yetkilerine benzer ayrıcalıklarla uzaktan erişim sağlayan kritik güvenlik açıkları da bulunuyordu. Bu durum, sorunun tek başına uzaktan bağlantının varlığından değil, eski cihazların çalıştırılmaya devam edilmesi ve genel internetten erişilebilir bırakılmasından kaynaklandığını gösteriyor.
Pratikte ne önlenebilirdi?
Pen Test Partners araştırmacıları, kamuya açık internetten kontrol ünitelerinin kaldırılması, uzaktan erişimin VPN ve izin verilen IP adreslerinden oluşan bir listenin arkasına alınması, bilinen veya varsayılan kimlik bilgilerinin değiştirilmesi ve yazılımların güncel sürümlere yükseltilmesi gibi temel önlemlerin olayın sonucunu değiştirebileceğini söyledi.
Araştırmacılar ayrıca üçüncü taraf ekipmanlarının, harici bir yükleniciye ait bağlantı üzerinde bırakılmak yerine, belgelenmiş ve kurumun kontrolü altındaki bir yöntemle kuruluşun ağına dahil edilmesi gerektiğini vurguladı. Claroty, geçtiğimiz ekim ayında bu önlemlerin göz ardı edilmesinin riskleri konusunda uyarıda bulunmuştu. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı CISA da şubat ayında benzer bir uyarı yayımladı.
Sorumlu taraf ve açıkta kalan dersler
Saldırının arkasındaki taraf sorumluluğunu açıklamadı. Bu nedenle saldırının amaçları, geniş çaplı sabotaj ile uluslararası veya devlet bağlantılı bir tarafın sınır ötesi bir kesinti operasyonu gerçekleştirmiş olma ihtimali arasında belirsizliğini koruyor. Copeland, üretimi durdurulmuş ve desteği sona ermiş bir kontrol ünitesi neslinde güvenlik açığı bulunduğunu kabul etti ve benzer olayları önlemek için müşterilerle birlikte çalıştığını söyledi. Danfoss, Ars Technica'nın sorularına hemen yanıt vermedi; bununla birlikte üretimi durdurulmuş modellerin de tartışmanın konusu olduğu belirtildi.
Olayın önemi, eski yazılımlarla yönetilen ve dışarıya açık erişime sahip küçük bir endüstriyel cihazın, stoklar ve tesislerin güvenliği üzerinde doğrudan operasyonel etki yaratabilecek bir noktaya nasıl dönüşebileceğini göstermesinde yatıyor. Ancak kaynak, ele geçirilen cihazların sayısını veya kayıpların nihai değerini kesinleştirmiyor; ayrıca saldırganın kimliğini ya da motivasyonunu da şu ana kadar kanıtlamıyor.