Aanvallers namen in de nacht van zondag op maandag, 11 op 12 oktober, op afstand de controle over koel- en vriesinstallaties bij honderden Franse supermarkten over en lieten de temperatuur oplopen tot 50 graden Celsius, meldt The Hacker News. Winkels moesten daardoor grote hoeveelheden voedsel weggooien.
De aanvallers kaapten de centrale Danfoss-controllers die de koeltechniek van een winkel op afstand aansturen en die onderhoudsbedrijven normaal gebruiken voor beheer op afstand. Ze gebruikten de ingebouwde automatische ontdooifunctie om de temperatuur te laten oplopen. Bij Intermarché liepen koelcellen daardoor op tot 50 graden.
Welke ketens zijn getroffen
Het aantal getroffen winkels verschilt per bron, maar meerdere grote ketens meldden schade:
- Intermarché en Netto (Les Mousquetaires): tussen de 150 en 300 winkels, afhankelijk van de bron
- Coopérative U: 80 van de ruim 2.000 winkels, koudeketen bleef er grotendeels intact
- Carrefour: 80 supermarkten
- Monoprix: ongeveer 30 winkels
- E.Leclerc: een aantal winkels
Bij Intermarché moesten alle producten uit de getroffen koelcellen worden weggegooid. Les Mousquetaires, het moederbedrijf van Intermarché en Netto, verwacht verliezen van tientallen miljoenen euro’s.
Het gaat vooral om oudere Danfoss-modellen: de AK-SM 800 en AK-SC 355, die Danfoss niet meer van updates voorziet en die volgens het bedrijf de meeste getroffen apparaten vormen. Ook een deel van het actuele model AK-SM 800A draaide nog verouderde firmware. Beveiligingsbedrijf Claroty Team82 publiceerde afgelopen augustus al onderzoek naar hoe aanvallers via publiek bereikbare beheerinterfaces van de AK-SM 800A op afstand code kunnen uitvoeren. Onderzoeker Baptiste Robert telde maandag 2.752 vanaf het internet bereikbare Danfoss-systemen, waarvan 1.590 alleen al in Frankrijk. Shodan registreert wereldwijd meer dan 4.500 Danfoss-apparaten die rechtstreeks vanaf het internet te benaderen zijn.
Wie er achter de aanval zit en hoe de controllers precies zijn binnengedrongen, is nog onbekend. Een bron rond de Franse premier meldt dat de Franse cyberveiligheidsdienst ANSSI een kwetsbaarheid heeft gevonden in software van het Deense bedrijf, zonder dat daar een CVE-nummer of een bevestigd verband met deze aanval bij hoort. Het Openbaar Ministerie in Parijs heeft een onderzoek geopend, uitgevoerd door de cybercrime-eenheid OFAC. Volgens een analist van beveiligingsbedrijf Sekoia zouden ook winkels in Spanje, Portugal, Polen, Duitsland en België zijn getroffen, al ontbreken daarover nog details.
Coopérative U-voorzitter Dominique Schelcher noemde de aanval ongekend en onacceptabel. EU-commissaris voor landbouw en voedsel Christophe Hansen veroordeelde de aanval en noemde Leclerc expliciet als slachtoffer. De Franse cyberveiligheidsdienst CERT-FR adviseert organisaties om dit soort controllers los te koppelen van het internet of de toegang sterk te beperken, en bij een vermoeden van compromittering de netwerktoegang te beperken tot de serviceprovider, een fabrieksreset uit te voeren, beveiligingsupdates te installeren, wachtwoorden te wijzigen en accounts te controleren. Indicators of compromise zijn nog niet gepubliceerd.
Nederlandse supermarkten en andere bedrijven met vergelijkbare koel- of vriesinstallaties die op afstand worden beheerd via Danfoss of soortgelijke OT-apparatuur, doen er goed aan nu te controleren of hun beheerinterface rechtstreeks vanaf het internet bereikbaar is. Met duizenden blootgestelde systemen wereldwijd en een aanval die in meerdere landen lijkt te zijn opgedoken, kan dit zich evengoed buiten Frankrijk herhalen. Beperk de toegang tot een VPN of IP-whitelist, update naar de laatste firmware en overweeg segmentatie tussen het OT- en het kantoornetwerk.
Bron: The Hacker News, BleepingComputer
Wat betekent dit voor jouw bedrijf?
Beheert uw organisatie koel- of vriesinstallaties, of andere OT/ICS-apparatuur, via een extern bereikbare beheerinterface? Controleer vandaag nog of die interface rechtstreeks vanaf het internet te benaderen is, bijvoorbeeld via Shodan, en beperk de toegang tot een VPN of IP-whitelist.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.