Ing. Calogero Bono
Frankrijk heeft Iran verantwoordelijk gesteld voor de sabotage van de koelsystemen van ongeveer 700 verkooppunten, in de nacht van 11 op 12 oktober. Volgens het Franse ministerie van Buitenlandse Zaken zit achter de aanval Shahid Kaveh, de cybereenheid van het Korps der Islamitische Revolutionaire Garde. Het is belangrijk omdat het de eerste keer is dat een staat publiekelijk een verantwoordelijke aanwijst, en omdat de getroffen installaties, die lijken op die van veel bedrijven, nog steeds online bereikbaar zijn.
Een paar termen, voordat we op de feiten ingaan. IRGC is het Korps der Islamitische Revolutionaire Garde, waar de beschuldigde eenheid onder valt. OT staat voor operationele technologie, dat wil zeggen de apparaten die machines en fysieke installaties aansturen. ICS zijn de industriële besturingssystemen. CERT-FR is het Franse centrum voor respons op cyberincidenten. Hacktivist is iemand die zich als activist voordoet, maar in opdracht van een staat kan handelen.
Wat is er gebeurd bij de Franse supermarkten?
De aanval trof ketens als Casino, Leclerc, Coopérative U, Metro, Carrefour en Intermarché, naast slagerijen, een slachthuis en coöperatieve structuren, volgens het rapport van CERT-FR dat wordt aangehaald door BleepingComputer. De daders hebben de industriële controllers gecompromitteerd en op afstand de ontdooi-instellingen gewijzigd, waardoor de temperaturen tot 50 graden opliepen, zoals Punto Informatico meldt.
De autoriteiten spreken van minstens 15 branden en tientallen miljoenen euro's aan verloren waar. Er zijn kwetsbaarheden in de besturingssystemen van Danfoss misbruikt. We hadden er al over geschreven in Danfoss en aanvallen op koelkasten, nieuwe golf in Europa.
Op welke bewijzen rust de beschuldiging aan Iran?
De toeschrijving komt van het Franse coördinatiecentrum voor cybercrises, dat het agentschap ANSSI, het militaire cybercommando en de inlichtingendiensten omvat. Volgens CERT-FR zijn er vier aanwijzingen.
- De infrastructuur van de aanvaller is ook gebruikt voor verkenningen van Schneider Electric-systemen, met technieken die al met de eenheid zijn geassocieerd.
- Het zoekplatform FOFA is gebruikt, dat de groep vaak gebruikt.
- Het propagandakanaal CyberbanNews, verbonden met Shahid Kaveh, verspreidde de aanval op 13 oktober.
- In de infrastructuur zijn sporen van het Farsi gevonden.
Het zijn technische aanwijzingen die door de Franse autoriteiten zijn verklaard, geen onafhankelijke verificatie.
Iran of pro-Russische groepen, wie heeft Italië getroffen?
Dat is niet duidelijk. De aanvallen in andere landen, Italië inbegrepen, zijn geclaimd door de pro-Russische groepen NoName057(16) en Z-Pentest Alliance. Volgens Cybersecurity360 heeft de claim betrekking op de Europese golf van november, en de openbare onderzoeken hebben niet vastgesteld of de daders dezelfde zijn als die van oktober.
Verschillende onderzoekers vermoeden, meldt Punto Informatico, dat de pro-Russische groepen de gelegenheid hebben benut om reclame voor zichzelf te maken. BleepingComputer benadrukt dat Frankrijk alleen de aanvallen van oktober aan Iran heeft toegeschreven. Over het Italiaanse aspect hebben we het onderwerp behandeld in wat er is gebeurd en wat je moet doen.
Wat zijn de politieke gevolgen en de waarschuwing van de Verenigde Staten?
De minister van Buitenlandse Zaken Jean-Noël Barrot sprak over de eerste grootschalige cyberaanval met sabotagedoeleinden op Frans grondgebied. Parijs roept de Iraanse ambassadeur op het matje en stelt nieuwe Europese sancties voor. Volgens Cybersecurity360 heeft het parket van Parijs een onderzoek geopend naar de top van de eenheid.
Ondertussen waarschuwen, zoals The Hacker News schrijft, CISA, de FBI en andere Amerikaanse agentschappen dat koelsystemen wereldwijd als doelwit worden gekozen. Ook Italië behoort tot de getroffen landen. Censys meldt dat het aantal blootgestelde Danfoss StoreView-instanties is gedaald van 3.004 naar 708 tussen 9 oktober en 5 november.
Beperkingen om te kennen
De toeschrijving aan Iran is een officieel Frans standpunt, geen gerechtelijk bewijs. Niet vaststaat wie de latere golven heeft uitgevoerd, en ook niet of de pro-Russische groepen echt actief waren. We kennen het resultaat van het onderzoek van het parket niet en weten niet of de Europese sancties zullen worden goedgekeurd. De schattingen van de schade komen van de autoriteiten en kunnen worden bijgesteld.
Wat er verandert voor wie met digitale systemen werkt
Als je winkels, magazijnen of installaties met verbonden controllers beheert, is het risico reëel. De Amerikaanse agentschappen vragen je om te bepalen welke systemen via internet bereikbaar zijn, standaardwachtwoorden te wijzigen, onnodige externe toegang te verwijderen en de noodzakelijke toegang te beveiligen. OT-apparaten moeten worden geïsoleerd en verouderde exemplaren vervangen. Vraag je leverancier of de firmware up-to-date is. Voor de Italiaanse aspecten zie je wat er verandert voor wie verbonden installaties beheert.
Ons standpunt
Deze zaak laat zien dat cyberbeveiliging niet alleen over gegevens en e-mail gaat. Een vergeten controller op internet, met het fabriekswachtwoord, kan branden veroorzaken. Wij vinden het terecht dat een staat verantwoordelijken blootlegt, maar de politieke aandacht dreigt het praktische punt te doen vergeten. Wie verbonden installaties verkoopt en plaatst, zou ze gesloten en bijwerkbaar moeten leveren. Zolang de blootstellingscijfers hoog blijven, verklaart geopolitiek weinig en verklaren patches veel.
Veelgestelde vragen
Wie heeft de koelkasten van de Franse supermarkten aangevallen?
Volgens Frankrijk de Iraanse eenheid Shahid Kaveh, verbonden met de IRGC. Het is een officiële toeschrijving op basis van technische aanwijzingen, geen vonnis.
Hoeveel verkooppunten zijn getroffen?
Ongeveer 700 in Frankrijk, volgens de Franse autoriteiten. Een eerste schatting sprak van 250 tot 350 supermarkten. Minstens 15 gevallen hebben tot branden geleid.
Is ook Italië getroffen?
Ja, Italië staat tussen de landen die door de aanvallen zijn geraakt. De claims komen van pro-Russische groepen, maar er zijn geen officiële bevestigingen over de daders.
Welke installaties zijn kwetsbaar?
Controllers die via internet bereikbaar zijn, niet bijgewerkt zijn of zwakke configuraties hebben. De bronnen noemen Danfoss StoreView en Copeland/Dixell XWEB als blootgestelde systemen.
Wat moet ik als eigenaar doen?
Controleer meteen of je controllers via internet bereikbaar zijn. Wijzig de standaardwachtwoorden en sluit onnodige externe toegang af.
Sancties, onderzoek en blootstellingscijfers om in de gaten te houden
De komende maanden zullen uitwijzen of de Franse beschuldiging standhoudt en of de blootstelling van de installaties echt daalt.
- Volg of de Europese Unie sancties goedkeurt tegen de genoemde personen en organisaties.
- Let erop of het parket van Parijs of andere onderzoekers ook de golf van november aan dezelfde groep koppelen.
- Controleer de Censys-gegevens over blootgestelde instanties en de waarschuwingen van je installatieleverancier.
Bronnen
- punto-informatico.it, Attacco contro i frigoriferi francesi – gli autori sono iraniani
- bleepingcomputer.com, France blames Iranian hackers for supermarket attacks that sparked fires
- cybersecurity360.it, Attacchi ai frigoriferi, Iran o Russia? Le prove e i dubbi
- thehackernews.com, U.S. Agencies Warn Refrigeration Controller Attacks Could Cause Fires and Inventory Losses
