Angreifer haben in der Nacht von Montag über 400 Lebensmittel- und Einzelhandelsfilialen in Europa manipulierte Kühlsteuerungen aus der Ferne angesteuert. Berichten zufolge wurden die Temperaturen auf 50 °C erhöht, wodurch Kühl- und Tiefkühlware vernichtet wurde. Außerdem wurden kleinere Brände gemeldet.
Die Zahl der Filialen stammt aus Berichten der betroffenen Unternehmen, auf die sich Dark Reading bezieht. Als Hauptziele sind dokumentiert bislang Einzelhändler in Frankreich bekannt. Ein Analyst von Sekoia erklärte gegenüber Reuters, auch Filialen in Spanien, Portugal, Polen, Deutschland und Belgien seien betroffen.
Die Eindringlinge sind bislang nicht identifiziert, und ihr Motiv ist weiterhin unklar.
Kühleinstellungen wurden aus der Ferne verändert
Erste Berichte brachten die Vorfälle mit Kühlsteuerungen von Danfoss in Verbindung. Die CERT-FR stellte später fest, dass auch die XWEB-Plattform von Dixell und Copeland an den Angriffen beteiligt war.
Laut französischen Berichten, die von Dark Reading zitiert werden, verlängerten die Angreifer die Abtauzyklen. Dadurch sah der Temperaturanstieg wie ein Wartungsvorgang aus. Abtaufunktionen erwärmen Kühlgeräte auf legitime Weise, um Eis zu entfernen. Verlängerte oder manipulierte Zyklen können Lebensmittel jedoch unsicheren Temperaturen aussetzen und die Anlage zusätzlich thermisch belasten.
Zwei Supermärkte in der französischen Region Elsass meldeten zusammen Verluste von 270.000 Euro, rund 300.000 US-Dollar, wie aus dem im Bericht zitierten BBC-Artikel hervorgeht. Diese Summe betrifft nur diese beiden Standorte und nicht den gesamten Angriff.
Les Mousquetaires, die Muttergesellschaft von Intermarché und Netto, teilte CNBC mit, dass der Zugriff auf Kühlsysteme in einigen seiner Filialen über einen Dienstleister erfolgte. Die Aussage deutet in zumindest einem Teil des Vorfalls auf den Fernzugriff Dritter als einen Eindringweg hin. Sie legt jedoch keine einheitliche Zugangsmethode für alle betroffenen Händler fest.
Im Danfoss-Controller offengelegte Schwachstellen
Claroty Team82 hat am 9. August drei Schwachstellen in der Danfoss-AK-SM-800A-Familie offengelegt. Die Berichterstattung belegt nicht, dass Angreifer während der Vorfälle in Supermärkten eine bestimmte CVE ausgenutzt haben.
Die NVD-Beschreibungen nennen unterschiedliche technische Bedingungen und betroffene Versionen:
- CVE-2025-41450 ist ein Problem mit fehlerhafter Authentifizierung, eingestuft als CWE-305, in der Danfoss-AK-SM-8xxA-Serie vor Version 4.2. Der CVSS-3.1-Wert beträgt 8,2, der Vektor lautet
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:L/A:H. Laut NVD ist die Schwachstelle über das Netzwerk erreichbar, hat eine hohe Angriffskomplexität, erfordert keine Berechtigungen, aber eine Benutzerinteraktion. - CVE-2025-41451 ist eine Command-Injection-Schwachstelle, eingestuft als CWE-77, in den Konfigurationsfeldern für Alarm-E-Mails. Bei Versionen vor 4.3.1 könnte ein authentifizierter Angreifer möglicherweise Remote Code Execution erlangen.
- CVE-2025-41452 ist eine Schwachstelle nach der Authentifizierung, die eine externe Steuerung einer Konfigurationseinstellung der Weboberfläche betrifft. Eingestuft als CWE-15, kann sie bei Versionen vor 4.3.1 durch unsachgemäße Behandlung von Ausnahmesituationen einen Denial of Service verursachen.
Auf Basis dieser betroffenen Bereiche ist Version 4.3.1 die erste Version, die laut Analyse von keiner der drei Schwachstellen betroffen ist. Danfoss hat Updates bereitgestellt, doch die Kunden müssen sie selbst einspielen.
Danfoss erklärte, der Großteil der bei den Vorfällen betroffenen Geräte seien Steuerungen der Serie AK-SM 800 oder die ältere AK-SC355. Das Unternehmen gab an, diese Produkte seien 2021 beziehungsweise 2016 end of life gegangen. Als Ursache nannte es veraltete Firmware und wiederholte seine Empfehlung, unterstützte Geräte zu aktualisieren und Altsysteme auf aktuelle Produkte umzustellen.
Dieser Unterschied ist wichtig: Die neu dokumentierten Schwachstellen betreffen die AK-SM-8xxA-Serie, während der gemeldete Angriff auch ältere installierte Geräte einbezog. Die verfügbaren Berichte liefern keine Erklärung, welche Schwachstelle jeweils zu den Kompromittierungen geführt hat.
Auch XWEB war betroffen
Claroty Team82 hat am 9. August 23 Schwachstellen in Copeland XWEB Pro offengelegt, 21 davon mit hohem Schweregrad. Die CERT-FR stellte später fest, dass die gesamte XWEB-Plattform an den Angriffen beteiligt war.
Der zeitliche Zusammenhang hat zu Vermutungen geführt, die Angreifer hätten kürzlich veröffentlichte Forschungsergebnisse genutzt. Dies bleibt jedoch ein Rückschluss. Die Berichte verbinden keine bestimmte XWEB-Schwachstelle mit einer konkreten kompromittierten Filiale.
Was Betreiber von Kühlanlagen tun sollten
Betreiber von Danfoss-AK-SM-8xxA-Steuerungen sollten die installierte Firmware überprüfen. Systeme vor Version 4.2 liegen weiterhin im betroffenen Bereich von CVE-2025-41450, während CVE-2025-41451 und CVE-2025-41452 Versionen vor 4.3.1 betreffen. Ältere Installationen der AK-SM 800 und AK-SC355 sollten anhand von Danfoss' Migrationsleitfaden bewertet werden.
Andrew Ginter von Waterfall Security Solutions empfiehlt als Sofortmaßnahme, industrielle Steuergeräte vom direkten Zugang aus dem Internet zu trennen. Wenn eine sofortige Trennung nicht möglich ist, rät er unter anderem dazu, eine Firewall in kommerzieller oder industrieller Ausführung vor die Steuerungen zu setzen. Dabei soll eine Default-Deny-Richtlinie gelten, also standardmäßig alles blockiert werden. Verbindungen sollen auf genehmigte IP-Adressen beschränkt, Passwörter und Zwei-Faktor-Authentifizierung verlangt und die Firewall automatisch aktualisiert werden.
Der von Les Mousquetaires beschriebene Weg über einen Dienstleister macht den Fremdzugriff ebenfalls zu einer Priorität. Händler sollten ermitteln, welche Auftragnehmer Kühlsysteme aus der Ferne erreichen können, diese Verbindungen auf die nötigen Systeme und Zeiträume beschränken und die Authentifizierung sowie die Firewall-Kontrollen dafür überprüfen.
Für betroffene Unternehmen gehen die Folgen über den Ausfall der Kühlung hinaus. Manipulierte Steuerungen können Warenbestände vernichten, den Filialbetrieb unterbrechen und physische Gefahren schaffen. Firmware-Updates, die Beseitigung des direkten Zugangs aus dem Internet und eine strengere Kontrolle des Zugangs externer Dienstleister begegnen den konkreten Schwachstellen, die dieser Vorfall offengelegt hat.
