Франція звинувачує Іран у саботажі супермаркетних морозильників: 700 об'єктів, пожежі, судове розслідування
Франція офіційно приписала жовтневий саботаж холодильних систем приблизно на 700 роздрібних об'єктах іранському кіберпідрозділу та відкрила судове розслідування щодо того, що прокурори описують як саботаж в інтересах іноземної держави. Багатотижневий промисловий інцидент перетворився на назване державне звинувачення з ордерами на арешт і дипломатичним протистоянням.
Міністерство Європи та закордонних справ назвало «Shahid Kaveh», описаний як кібернаступальний підрозділ, пов'язаний з електронним і кіберцентром Корпусу вартових ісламської революції. Оцінка надійшла через центр координації кіберкриз Франції C4, який залучає ANSSI, військове кіберкомандування та розвідувальні служби. За даними BleepingComputer, CERT‑FR також пов'язує підрозділ з хактивістськими персонами CyberAveng3rs, Soldiers of Solomon і Cyber Isnaad Front.«Франція найрішучіше засуджує неприйнятні кібератаки, здійснені на її території Ісламською Республікою Іран проти її інтересів».
Що сталося в ніч з 11 на 12 жовтня
Зловмисники дісталися до доступних з інтернету адміністративних інтерфейсів холодильних контролерів і змінили налаштування розморожування так, щоб цикли працювали без обмеження часу, підвищуючи температуру шаф. BleepingComputer повідомляє, що було скомпрометовано холодильні контролери Danfoss, а параметри розморожування підвищено до високих температур. Французьке видання з безпеки ZATAZ додає, що постраждале обладнання включало пристрої Danfoss AK‑SM і AK‑SC та контролери Dixell/Copeland XWEB, деякі поза підтримкою або з застарілою прошивкою, а також що теплові сенсорні оповіщення були вимкнені. Фізичні наслідки були негайними. BleepingComputer оцінює збитки щонайменше у 15 пожеж, поряд із десятками мільйонів євро втрат продуктів і значними матеріальними збитками. ZATAZ у головному тексті повідомляє про «une vingtaine de departs de feu» — близько двадцяти пожеж — тоді як пізніший фрагмент тієї ж статті каже про щонайменше 15. Дві цифри публічно не узгоджені. Список постраждалих широкий і здебільшого буденний. CERT‑FR називає Casino, Leclerc, Coopérative U, Metro, Carrefour і Intermarché, а також менші м'ясні крамниці, бійню та кооперативні підприємства харчової переробки. Слідчі також виявили атаки на промислове обладнання Schneider Electric на малих гідроелектростанціях того ж періоду з помірними наслідками.Судове розслідування та ордери
9 листопада прокуратура Парижа відкрила формальне судове розслідування жовтневих атак, за даними ZATAZ. Розслідування ведуть OFAC, національне управління боротьби з кіберзлочинністю, і DGSI, служба внутрішньої розвідки. Прокуратура Лор Бекко розглядає шахрайський доступ до комп'ютерних систем у складі організованої групи, пошкодження, здатні наразити людей на небезпеку, та дії в інтересах іноземної держави. ZATAZ повідомляє, що було запрошено міжнародні ордери на арешт трьох осіб: керівника групи Shahid Kaveh та двох його заступників. Це запит, а не вирок. Сама атрибуція спирається на сукупність індикаторів, а не на єдиний доказ — спосіб дії групи, мовні сліди фарсі в інфраструктурі нападників і з'єднання з терміналів в Ірані.Чому охолодження є ціллю з фізичним ефектом
Обладнання холодильного ланцюга є привабливою ціллю для кожного, хто хоче видимого фізичного результату, не торкаючись платіжної системи. Холодильний контролер — це маленький вбудований комп'ютер з веб-інтерфейсом, часто встановлений роками тому підрядником, рідко оновлюваний і часто доступний з публічного інтернету для зручності віддаленого обслуговування. Ніхто не очікує, що він буде межею безпеки, тому зазвичай нею не є. Не було вимоги викупу й повідомлень про крадіжку даних. Ефект був суто операційним: зіпсовані запаси, пожежі від перегрітого обладнання та магазини, змушені закриватися або списувати товар. Цей профіль — низька витонченість на рівні доступу, високі наслідки на фізичному рівні — робить відкрите OT-обладнання вартим уваги. Технічний аналіз, опублікований RedHotCyber на основі дослідження Sekoia, виявив понад 2700 відкритих систем Danfoss у світі 11 жовтня, близько 1700 з них у Франції. Станом на 16:00 12 жовтня приблизно половина французьких пристроїв уже не була публічно доступною.Друга хвиля, яку Франція не приписала
У листопаді відбулася друга кампанія. BleepingComputer повідомляє про понад 115 уражених магазинів у шести європейських країнах, включно з трьома установами зберігання продуктів крові, де було змінено температури й налаштування розморожування. RedHotCyber описує інциденти в ніч з 1 на 2 листопада приблизно в десятку європейських країн, зокрема в Бельгії, Нідерландах, Німеччині та Швеції, з температурами у французьких установах служби крові, встановленими до 110 градусів за Цельсієм, перш ніж персонал втрутився. Франція приписала Ірану лише жовтневі атаки на супермаркети; походження листопадової хвилі публічно невідоме. Окремо FBI і CISA попередили про триваючі атаки на системи промислового охолодження та моніторингу холодильного ланцюга. Дипломатично Франція заявила, що викличе іранського посла і просуватиме нові санкції ЄС проти іранських осіб і організацій, причетних до зловмисних кібероперацій.Що мають перевірити оператори
Оборонні уроки переважно стосуються відкритості. Робота Sekoia з honeypot, у викладі RedHotCyber, зафіксувала неавтентифіковані запити до веб-дій контролерів і розпилення паролів проти облікових записів supervisor та admin з паролем 12345 — нагадування, що стандартні облікові дані на будівельному й холодильному обладнанні досі є актуальною проблемою, а не історичною.- Проведіть інвентаризацію кожного холодильного та HVAC-контролера і з'ясуйте, які відповідають на публічній IP-адресі.
- Усуньте пряму відкритість в інтернеті; розмістіть віддалене обслуговування за VPN або проміжним хостом із журналюванням.
- Замініть стандартні та спільні облікові дані й перевірте записи з повними адміністративними правами, якими ніхто не володіє.
- Оновлюйте або замінюйте прошивку поза підтримкою; якщо постачальник більше не випускає оновлень, плануйте заміну.
- Сегментуйте OT-мережі та мережі управління будівлями від корпоративної IT.
- Оповіщайте про зміни конфігурації циклів розморожування, уставок і порогів сенсорів, а не лише про мережеві аномалії.