Холодильники 350 супермаркетов Франции нагрели до 50 °C, 4500 контроллеров «Данфосс» в сети

Ночью злоумышленники удалённо взяли под контроль холодильники и морозильные камеры как минимум в 350 французских супермаркетах, перевели их в режим разморозки, и температура внутри поднялась до 50°C. В Intermarché холодильники примерно в 150 магазинах оставались такими горячими шесть часов, после чего все продукты пришлось выбросить. Путь внутрь открывало устройство, управляющее холодильными рядами всего магазина: контроллер Danfoss, которым специалисты по холодильному оборудованию управляют через интернет.

Для покупателей это обернулось закрытыми рядами морозильников, а для сотрудников магазинов в центре Парижа — необходимостью опрокидывать тележки с размороженным мясом и растаявшим мороженым в огромные мусорные контейнеры. Но проблема касается далеко не только Франции. С помощью поисковой системы Shodan агентство Reuters обнаружило, что после атаки в интернете по-прежнему видны как минимум 4 500 интерфейсов Danfoss. Французская компания по сканированию сетей Onyphe сообщила, что, судя по всему, лишь небольшая часть устройств работает на последней версии программного обеспечения.

Carrefour насчитал 80 пострадавших супермаркетов, а Monoprix — около 5% из примерно 490 своих магазинов во Франции. Атака затронула и Coopérative U, однако её генеральный директор Доминик Шельшер (Dominique Schelcher) заявил, что в большинстве пострадавших магазинов холодовая цепь не была нарушена: сотрудники и подрядчики среагировали быстро. E.Leclerc сообщил, что атаке подвергся один из его поставщиков холодильного оборудования. Прокуратура Парижа сообщила о потерях продуктов и возгораниях оборудования. А Тьерри Котийяр (Thierry Cotillard), возглавляющий материнскую компанию Intermarché — Les Mousquetaires, — сказал телеканалу BFMTV, что ущерб по всей стране за один день составит «десятки миллионов евро».

Danfoss утверждает, что многие пострадавшие устройства «достигли конца срока службы и больше не получают обновлений программного обеспечения и безопасности», тогда как на других «работала устаревшая прошивка». Компания назвала две старые модели — AK-SM 800 и AK-SC 355, снятые с производства несколько лет назад; под удар также попали некоторые действующие контроллеры AK-SM 800A со старой прошивкой. Национальное агентство Франции по кибербезопасности ANSSI также сообщило, что среди затронутых систем есть программное обеспечение Copeland и её бренда Dixell. Copeland признала наличие «уязвимости» и заявила: «Сейчас мы работаем с пострадавшими клиентами, чтобы снизить риски».

Холодильное оборудование супермаркетов подключено к интернету по вполне обыденной причине: подрядчик может дистанционно менять температуру, сбрасывать сигналы тревоги и настраивать циклы разморозки, не выезжая в магазин. CERT-FR, правительственная служба реагирования на киберинциденты, рекомендовала всем операторам контроллеров Danfoss AK-SM и AK-SC отключить их от интернета или строго ограничить круг тех, кто может получить к ним доступ. По данным AFP, глава ANSSI Венсан Стрюбель (Vincent Strubel) назвал этот шаг срочным.

Пока никто не может сказать, как именно злоумышленники проникли в системы и зачем. Ни одна группа не взяла на себя ответственность за атаку, и выкуп никто не требовал — это озадачило следователей, сообщил источник, цитируемый Reuters. CERT-FR не указала ни уязвимость, ни версию прошивки, ни признаки взлома, на которые операторам следовало бы обратить внимание. Уязвимости контроллера AK-SM 800A, описанные компанией по кибербезопасности Claroty, с атакой не связывали. Для владельцев самых старых моделей установить исправление невозможно: единственный реальный выход — заменить оборудование, обратившись к тем же подрядчикам, которые устанавливали прежние устройства. «Речь идёт об элементарной кибергигиене», — сказал Кен Манро (Ken Munro) из Pen Test Partners. «Ошибётесь — и получите зловонную груду размороженных продуктов». Он добавил, что злоумышленники воспользовались открытой дверью, а виновниками вполне могли быть «дети, которые просто баловались».

Возможно, Франция пострадала не одна. Феликс Эме (Félix Aimé), аналитик по разведке угроз компании Sekoia, сообщил Reuters, что атака затронула также Испанию, Португалию, Польшу, Германию и Бельгию, не приводя подробностей. ANSSI поддерживает связь с ведомствами в других странах Европы. В это же время из-за отдельного инцидента перестали работать онлайн-сервисы доставки продуктов нидерландской розничной сети Ahold Delhaize, однако Национальный центр кибербезопасности Нидерландов NCSC не видит связи между происшествиями. Подобные случаи уже бывали: в конце августа из-за похожей атаки пострадали холодильники примерно в дюжине магазинов при военных базах США, а в собственной рассылке Danfoss для клиентов упоминаются атаки на 16 российских супермаркетов и 40 магазинов в Израиле в 2022 году.

Атака началась в ночь на воскресенье, 11 октября, а на следующий день CERT-FR опубликовала предупреждение. Danfoss объявила о завершении срока службы AK-SM 800 в мае 2021 года, а AK-SC 355 сняла с производства в 2016 году. Claroty опубликовала исследование более новой модели 9 августа. Отдел по борьбе с киберпреступностью прокуратуры Парижа начал расследование, которое ведёт управление по борьбе с киберпреступностью OFAC: его задача — подсчитать число пострадавших и установить связь между каждым случаем ущерба и атакой. Французская федерация розничной торговли FCD потребовала от Danfoss «полной прозрачности». Пока следователи выясняют, как злоумышленники проникли в системы, самый дешёвый способ защиты из списка CERT-FR не требует никаких обновлений: отключить контроллер от интернета.

Теги: Pelé, Cher, безопасность IoT, кибератака, ANSSI, Carrefour