Французские власти возложили ответственность за октябрьскую атаку на контроллеры холодильного оборудования примерно на 700 торговых объектах на киберподразделение Корпуса стражей Исламской революции Ирана (КСИР). По оценке правительства, это первая наступательная киберкампания на территории Франции, проведённая исключительно с целью саботажа.
В ночь на 11 октября злоумышленники получили доступ к контроллерам и изменили параметры размораживания, установив высокие температуры. Они запускали аномальные циклы размораживания без ограничения по времени и отключили сигналы датчиков температуры, которые должны предупреждать о превышении заданных значений.
Последствием стала порча продовольствия. В сообщениях фигурируют разные оценки: как минимум 15 пожаров и примерно 20 возгораний, по данным прокуратуры. Ущерб продовольственному сектору оценён в несколько десятков миллионов евро.
Кого затронула атака
Совместный отчёт французского центра координации киберкризисов C4 указывает, что большинство пострадавших — крупные торговые сети Casino, Leclerc, Coopérative U, Metro, Carrefour и Intermarché. Среди других затронутых организаций названы небольшие мясные лавки, скотобойня и кооперативные пищевые предприятия.
C4 также связал этот инцидент с одновременным нацеливанием на оборудование Schneider Electric на нескольких малых гидроэлектростанциях во Франции. Воздействие на эти объекты власти охарактеризовали как умеренное.
В C4 входят французское Национальное агентство по безопасности информационных систем ANSSI, службы DGSE и DGSI, Управление вооружений и Командование киберзащиты.
Атрибуция операции
Французские власти считают исполнителем операции подразделение КСИР, известное как «Шахид Кавех». В публичном поле оно главным образом ассоциируется с хактивистскими названиями CyberAveng3rs и Cyber Isnaad Front, от имени которых группа брала ответственность за часть атак.
C4 привёл четыре группы признаков, связывающих кампанию с КСИР и «Шахид Кавех»:
— инфраструктура, использованная при атаке, в тот же период применялась для разведки оборудования Schneider Electric, используемого в том числе на малых и средних объектах энергетики и водоснабжения;
— разведка велась методами, которые это подразделение, по данным C4, использует как минимум с апреля;
— злоумышленники применяли сканер FOFA, которым группа обычно пользуется, а в атакующей инфраструктуре обнаружили следы персидского языка;
— связанное с подразделением пропагандистское издание CyberbanNews сообщило об атаке уже 13 октября.
Прокуратура Франции добавила, что расследование, которое ведут управление по борьбе с киберпреступностью OFAC и DGSI, выявило характерный для группы метод атаки. Следствие также установило использование персидского языка и IP-адресов, ведущих к устройствам, расположенным в Иране.
«Шахид Кавех» и ранее заявляла о причастности к атакам на промышленные системы. Через CyberAveng3rs она связывала себя с кампанией против израильского производителя промышленных систем управления Unitronics в ноябре 2023 года. В марте и апреле группа заявляла об атаках на израильские и американские объекты, включая израильское холодильное оборудование.
Французский отчёт об атрибуции при этом не рассматривает новую волну атак на холодильное оборудование, которая неделей ранее затронула супермаркеты в нескольких других странах Европы.
Проверка публично доступных интерфейсов инженерных систем важна не только для холодильных контроллеров: ранее TTL писал, как ИИ-агенты получили доступ к системам при сетевом тестировании. В обоих случаях решающим условием становится доступность систем и интерфейсов из сети, а не только наличие конкретного сценария атаки.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Ответные меры Франции
МИД Франции намерен вызвать посла Ирана и предложить европейским партнёрам ввести новые санкции против причастных иранских организаций и лиц.
Прокуратура Парижа возбудила судебное расследование в отношении предполагаемого руководителя группы, двух его заместителей и других установленных участников. Запрошена выдача международных ордеров на арест. Среди рассматриваемых составов — неправомерное вмешательство в работу компьютерных систем и причинение ущерба средствами, опасными для людей. Отягчающим обстоятельством следствие считает совершение этих действий в интересах иностранного государства — Ирана.
Какие контроллеры проверять
CERT-FR сообщил о многочисленных компрометациях удалённых контроллеров холодильного оборудования четырёх семейств: Danfoss AK-SM и AK-SC, Copeland xweb и Dixell xweb. В предупреждении, последний раз обновлённом 16 октября, отмечается, что кампании против таких устройств, вероятно, продолжаются.
Ведомство отдельно подчёркивает: прямой доступ к интерфейсу управления из интернета не соответствует надлежащей практике. Эта рекомендация актуальна и для организаций за пределами Франции, если они эксплуатируют указанные семейства устройств или сопоставимые контроллеры с публично доступным интерфейсом. Рассмотренные французские опубликованные материалы не сообщают об атаках на российские организации.
Инвентаризация таких устройств, проверка публикации интерфейсов и схем удалённого доступа требуют участия ИБ- и эксплуатационных команд. Если внутренних ресурсов для этой работы недостаточно, организации могут привлечь услуги ИТБ по информационной безопасности для проверки конкретного риска: внешней доступности контроллеров и правил их удалённого администрирования.
Для устройств без признаков компрометации CERT-FR рекомендует:
— убрать из интернета доступ к этим контроллерам и ко всем устройствам, доступным по публичному IP-адресу;
— до отключения канала связи с подрядчиком по холодильному оборудованию проверить условия страхового договора;
— проверить всю конфигурацию, в особенности диапазоны размораживания;
— возобновлять удалённый доступ только через защищённую сеть или безопасный VPN;
— в экстренной ситуации блокировать IP-адреса подрядчиков на межсетевом экране, но не считать такую фильтрацию долгосрочной заменой защищённого доступа;
— выполнять рекомендации производителя. Для Danfoss они включают обновление прошивки, установку уровня безопасности «Строгий» и проверку смены паролей по умолчанию.
Для уже скомпрометированных контроллеров порядок действий иной: сначала необходимо изолировать их от доступа из интернета и проверить условия страхового договора. Для оборудования Danfoss CERT-FR рекомендует перезапуск либо иной способ возврата к заводским настройкам. После этого удалённый доступ следует организовать через защищённую сеть или VPN; фильтрация IP-адресов подрядчиков может использоваться только как временная мера. До ввода устройства в работу его необходимо заново настроить и выполнить инструкции производителя.
CERT-FR отдельно предупреждает об устройствах с завершённым сроком поддержки. Если контроллер EOL больше не получает исправления безопасности и остаётся подключённым к интернету, риск повторной компрометации очень высок. Одного сброса к заводским настройкам в таком случае недостаточно: сброс удаляет закрепление злоумышленника, но не устраняет исходную уязвимость.
Практический вывод для операторов холодильного и другого инженерного оборудования: следует инвентаризировать удалённо управляемые контроллеры, проверить отсутствие прямой публикации интерфейсов в интернете, параметры технологических режимов и состояние поддержки прошивок. Для неподдерживаемых устройств сброс и повторная настройка не заменяют устранение внешней доступности и переход к защищённой схеме удалённого администрирования.