Серия кибератак на системы холодильного оборудования супермаркетов вызвала тревогу по всей Европе. Сообщается о повышении температуры в морозильных камерах до 50°C, что привело к порче продуктов. Инциденты, произошедшие в нескольких странах, напоминают крупную атаку во Франции в октябре, затронувшую сотни филиалов различных торговых сетей. Это произошло вскоре после того, как стало известно о расследовании американскими властями аналогичных атак на морозильные установки на военных базах США.
В Ирландии компания Musgrave, поддерживающая сеть Supervalu, подтвердила, что небольшое количество магазинов пострадало от инцидента, нацеленного на определенные модели холодильного оборудования. Организация сообщила, что системы мониторинга обнаружили инцидент на ранней стадии, и в качестве меры предосторожности были изъяты некоторые охлажденные и замороженные продукты. Представитель компании заявил, что ситуация нормализуется, и ведется расследование совместно с поставщиками и специалистами по кибербезопасности. «Мы работаем над тем, чтобы клиенты могли получить все необходимое как можно скорее», — сказал представитель. «Мы благодарим наших клиентов за терпение и понимание».
Тем временем в Швеции атаки на небольшое количество магазинов Co-op и Ica привели к изменению настроек температуры. «Мы не можем регулировать температуру; мы не можем ее изменить. Морозильные камеры выбрасывают тепло. Все испорчено», — сообщил прессе один из менеджеров магазина Ica. В Бельгии пострадали магазины, управляемые Ahold Delhaize и Colruyt под брендом Spar. Сообщается, что испарители морозильных камер были переведены в режим разморозки на ночь. По данным BBC, атакам подверглись также супермаркеты в других странах, включая Эстонию, Финляндию, Люксембург и Нидерланды.
Джеймс Нилсон, глобальный старший вице-президент Opswat, заявил: «Это второй случай за три недели, и он не будет последним. Когда удаленный уровень управления контролирует физический процесс, он становится единой точкой отказа для всей торговой сети, и один компромисс может затронуть множество магазинов одновременно. Масштаб меньше, чем во Франции, но для каждого пострадавшего магазина ущерб столь же реален. Запасы приходится уничтожать и заменять, поставщики и распределительные центры должны справиться с резким ростом спроса, технические специалисты по холодильному оборудованию должны проверять и восстанавливать системы на месте, а розничные торговцы должны заверить клиентов в безопасности продукции на полках».
Слепая зона OT
В данном случае, как и часто при кибератаках на критически важные сектора, такие как энергетика и продовольственное снабжение, подключенные операционные технологии (OT) и промышленные системы управления (ICS) предоставляют злоумышленникам легкий способ вызвать максимальный сбой. Шведский Центр национальной кибербезопасности (NCSC), который внимательно следит за инцидентами и работает с пострадавшими, заявил, что произошедшее показало важность защиты систем, контролирующих и отслеживающих физические процессы. В отличие от более регулярно обновляемых ИТ-сред, OT-среды часто включают огромное количество устаревших технологий, которые гораздо труднее или даже невозможно исправить при появлении уязвимостей, что делает их крайне уязвимыми.
«Розничная торговля — легкая мишень, поскольку розничные сети управляют огромным количеством холодильных контроллеров, систем управления зданием, панелей доступа к дверям и торгового оборудования, большая часть которого устанавливается подрядчиками по эксплуатации зданий, которые редко привлекают команду безопасности», — сказал Том Хегель, ведущий исследователь угроз и руководитель отдела исследований SentinelOne. «Прибыль в продуктовом ритейле невелика, а товары портятся в течение нескольких часов, поэтому любой сбой быстро и публично сказывается. Разница между неприятностью и серьезным инцидентом часто зависит от того, насколько сильно жертва раскрыла контроль в Интернете. Поскольку тысячи таких интерфейсов все еще находятся онлайн, я ожидаю больше подобных инцидентов».
Действительно, сканирование общедоступных холодильных установок, проведенное Forescout после октябрьских атак во Франции, выявило почти 13 000 уязвимых служб на более чем 6 000 общедоступных IP-адресов в 99 странах мира, причем Франция, Греция и Италия были особенно сильно подвержены риску. Среди более крупных игроков в этой области было обнаружено более 7 000 служб Copeland/DIxell XWEB, 4 500 служб Danfoss StoreView, 550 служб Copeland Site Supervisor и 500 служб Carel pCOWeb. Вызывает обеспокоенность, по данным Forescout, то, что 80% просканированных служб Danfoss AK-SM 800A StoreView — программной платформы, предоставляющей пользовательский интерфейс (UI) для веб-доступа к холодильным мониторам AK-SM800A — были затронуты известными уязвимостями. Оборудование Danfoss подверглось массированным атакам во время октябрьских инцидентов во Франции.
Российский след?
Хотя Москва последовательно отрицает какое-либо официальное участие, хактивистские группы, базирующиеся в России и действующие в ее геополитических интересах, заявили как минимум о 20 атаках на холодильные системы в этом году, по данным Forescout. Исследователи Forescout сообщили, что наиболее активными группами, стоящими за этими атаками, были NoName057(16) и связанная с ней группа Z-Pentest Alliance. NoName057(16) ранее была связана с финансируемой Кремлем неправительственной организацией (НПО) Центр изучения и сетевого мониторинга молодежной среды и, предположительно, управляет Z-Pentest Alliance в сотрудничестве с группой, известной как Киберфронт России Возрожденный. Хотя NoName057(16) обычно специализировалась на атаках типа «отказ в обслуживании» (DDoS), Z-Pentest Alliance сосредоточилась на OT-средах в критически важных организациях.
Однако Хегель из SentinelOne отметил, что в данном сценарии атрибуция сложнее, чем кажется. «Злоумышленник, который входит в незащищенную панель управления, почти ничего не оставляет после себя: нет вредоносного ПО для анализа и мало улик, кроме IP-адреса, который, вероятно, ведет к арендованному серверу», — сказал он. «С точки зрения защищающейся стороны, подросток и разведывательная служба выглядели бы одинаково». Хегель продолжил: «Эти типы атак обычно делятся на три основные категории: вымогательство с помощью программ-вымогателей, политический/идеологический хактивизм или кибероперации на уровне государств. Группы, занимающиеся программами-вымогателями, обычно пытаются получить деньги, а хактивисты обычно хотят публичного признания. В данном случае не произошло ни того, ни другого, что заставляет это выглядеть как недорогой, отрицаемый саботаж, с которым Европа сталкивается уже несколько лет, от поврежденных подводных кабелей до поджогов складов и глушения GPS».
Тем не менее, добавил он, розничным торговцам в Великобритании — которая, похоже, еще не подверглась атакам — и по всей Европе рекомендуется отключить контроллеры холодильных систем от Интернета, защитить доступ поставщиков надежной аутентификацией, а также провести аудит и заменить любые устаревшие устройства, которые больше не получают обновлений. «Розничным торговцам не нужно знать, кто это сделал, прежде чем действовать», — сказал он.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Alex Scroxton
