Aanval op supermarktkoeling treft ook Copeland en Dixell

De cyberaanval die de koeling in Franse supermarkten ontregelde, is groter dan eerst werd gemeld. Niet alleen regelaars van Danfoss werden getroffen, maar ook apparatuur van Copeland en zijn merk Dixell. Dat meldt ANSSI, het Franse nationale agentschap voor cyberveiligheid.

CERT-FR, het computercrisisteam van ANSSI, waarschuwde op 12 oktober voor het eerst voor talrijke compromitteringen van koelregelaars uit de Danfoss-series AK-SM en AK-SC. Een dag later werd de waarschuwing bijgewerkt met de systemen Copeland XWEB en Dixell XWEB.

Copeland wilde de bevindingen van het agentschap eerst niet bevestigen. Inmiddels erkent het bedrijf een kwetsbaarheid. "We werken momenteel met getroffen klanten samen om het risico te beperken", aldus het bedrijf.

Hoe de aanvallers binnenkwamen, is nog onduidelijk

Het toegangspunt is nog altijd onbekend. De waarschuwing van CERT-FR koppelt de compromitteringen niet aan een specifieke kwetsbaarheid. Danfoss noch de Franse autoriteiten hebben de aanval in verband gebracht met de lekken die Claroty eerder dit jaar openbaar maakte.

Afgelopen zomer publiceerde Claroty details over lekken in de AK-SM 800A-regelaar van Danfoss en over 23 kwetsbaarheden in de XWEB Pro-regelaar van Copeland. Copeland dichtte die met een firmware-update.

Volgens Danfoss gaat het bij de meeste getroffen apparaten om oudere AK-SM 800- en AK-SC 355-systemen. Beide zijn end-of-life en krijgen geen patches meer. De ondersteuning voor de AK-SM 800 stopte in mei 2021 en de AK-SC 355 is in 2016 uit de handel genomen. Ook enkele actuele AK-SM 800A-regelaars werden gecompromitteerd, omdat ze verouderde firmware draaiden.

Wat CERT-FR van beheerders vraagt

Het agentschap heeft beheerders van getroffen regelaars opgedragen die van het internet los te koppelen. Toegang op afstand mag pas weer worden hersteld via een beveiligde vpn of een afgeschermd netwerk. Verbindingen filteren op IP-adres is alleen aanvaardbaar als tijdelijke noodmaatregel.

CERT-FR waarschuwde ook dat een fabrieksreset niet volstaat voor gecompromitteerde end-of-life-apparaten. Blijft zo'n apparaat bereikbaar, dan blijft het kwetsbaar en wordt het waarschijnlijk opnieuw gecompromitteerd.

Zo'n 700 Franse winkels getroffen

Carrefour, Coopérative U, E.Leclerc, Intermarché en Monoprix hebben bevestigd dat ze getroffen zijn. Minister van Financiën Roland Lescure vertelde parlementariërs dinsdag dat ongeveer 700 van de circa 10.000 Franse supermarkten zijn geraakt. Eerdere berichten spraken van 300 tot 350.

Les Mousquetaires, het concern achter Intermarché, meldde dat ongeveer 150 van zijn winkels zijn getroffen. De koelinstallaties draaiden daar zes uur lang op 50 graden Celsius en alle levensmiddelen zijn weggegooid. Carrefour meldde 80 getroffen winkels.

Volgens Dominique Schelcher, topman van Coopérative U, waren 80 winkels van de groep doelwit, maar hoefde slechts een minderheid producten weg te gooien. Twee supermarkten in de Elzas meldden samen een schade van 270.000 euro (300.000 dollar).

Het Parijse Openbaar Ministerie, waarvan de afdeling cybercriminaliteit een onderzoek is gestart, zei dat de aanval naast voedselverlies ook brand veroorzaakte. Volgens Le Monde rekten de aanvallers de ontdooicycli op van een uur tot wel acht uur, waardoor alarmen later afgingen.

Reuters meldde op basis van een bron die bekend is met het onderzoek dat de onderzoekers voor een raadsel staan, omdat niemand de aanval heeft opgeëist en er geen losgeld is geëist.

Ook buiten Frankrijk

Félix Aimé van Sekoia vertelde Reuters dat ook winkels in Spanje, Portugal, Polen, Duitsland en België zijn getroffen, al gaf hij geen details. Het Nederlandse NCSC zei niet te denken dat een afzonderlijke cyberaanval op Ahold Delhaize verband houdt met de koelincidenten.

Censys telde op 11 oktober bijna 3.000 Danfoss StoreView-bedieningspanelen die via internet bereikbaar waren, waarvan ruim 1.800 in Frankrijk. Op 14 oktober was het Franse aantal gedaald tot 537, terwijl het aantal in andere landen nauwelijks veranderde.

Gepatchte en ongepatchte versies verdwenen in ongeveer hetzelfde tempo. Volgens Censys wijst dat erop dat beheerders de regelaars offline halen in plaats van ze bij te werken.

Het incident roept ook de vraag op wie verantwoordelijk is. Volgens Bloomberg zei Les Mousquetaires dat Danfoss de koelsystemen beheerde en dat het dus aan de leverancier is om aangifte te doen bij de autoriteiten.

Onze analyse

Dit incident laat zien wat er gebeurt als gebouwbeheerapparatuur nog jarenlang aan het internet hangt nadat de leverancier er niet meer naar omkijkt. Een groot deel van de getroffen hardware is end-of-life en een deel ervan is tien jaar geleden al uit de handel genomen. Het probleem past in een patroon waarover we eerder schreven: verouderde apparatuur in OT-netwerken blijft vaak onopgemerkt en onbeheerd tot er iets misgaat.

De cijfers van Censys verdienen aandacht. Een scherpe daling van het aantal bereikbare panelen in Frankrijk, terwijl er elders vrijwel niets verandert, doet vermoeden dat beheerders buiten Frankrijk zichzelf nog niet als risico zien. Dat is zorgwekkend, gezien de berichten over getroffen winkels in diverse andere Europese landen. Apparaten loskoppelen is een verstandige eerste stap, maar neemt de onderliggende zwakte niet weg.

Het ontbreken van een losgeldeis en van enige claim is ongebruikelijk. Daardoor blijft het motief onduidelijk, en de verlengde ontdooicycli waardoor alarmen later afgingen, wijzen erop dat de aanvallers begrepen hoe deze systemen werken. De discussie over aansprakelijkheid tussen retailers en leveranciers kan net zo belangrijk blijken als de technische aanpak, want bij beheerde diensten is vaak onduidelijk wie verantwoordelijk is voor patchen en voor de bereikbaarheid van systemen.

Het is de moeite waard om in de gaten te houden of onderzoekers de aanval koppelen aan de door Claroty gemelde lekken, of er meer leveranciers in de waarschuwing van CERT-FR opduiken en of toezichthouders harder gaan aandringen op regels voor operationele technologie. In de VS is CISA al opgeroepen een bindende OT-richtlijn uit te vaardigen, en deze zaak zal zo'n oproep waarschijnlijk meer gewicht geven.