Frankreich hat einen Cyberangriff vom Oktober, der Kältesteuerungen an rund 700 französischen Einzelhandelsstandorten betraf, einer iranischen militärischen Cyber-Einheit zugeschrieben. The Hacker News berichtete, die Regierung habe am 9. November Shahid Kaveh benannt, eine Einheit der Islamischen Revolutionsgarden Irans (IRGC), nach einer Operation, die Lebensmittel verdarb und Brände verursachte.
Für Betreiber von Kälteanlagen zeigt der Angriff die physischen Folgen unbefugten Zugriffs auf Gerätesteuerungen. In der Nacht des 11. Oktober erhöhten die Angreifer die Abtautemperaturen. Laut der Staatsanwaltschaft entfernten sie außerdem Zeitbegrenzungen für abnormale Abtauzyklen und deaktivierten Temperaturwarnungen. Das französische Außenministerium schätzte die Lebensmittelverluste auf mehrere zehn Millionen Euro.
Zu den Opfern zählten laut dem französischen Cyber-Krisenkoordinierungszentrum C4 Casino, Leclerc, Coopérative U, Metro, Carrefour und Intermarché. Große Händler machten den Großteil der betroffenen Organisationen aus. Auch kleinere Betriebe und Lebensmittelproduzenten wurden beschädigt, darunter Metzgereien, ein Schlachthof und genossenschaftliche Lebensmittelbetriebe.
Fernzugriff ermöglichte Änderungen an Kühleinstellungen
Die Pariser Staatsanwaltschaft erklärte, die Angreifer hätten über Weboberflächen auf Kältesteuerungen von Danfoss und Dixell zugegriffen und sie aus der Ferne übernommen. Sie deaktivierten die Sicherheitsmeldungen der Temperatursensoren, die Betreiber warnen sollten, wenn Messwerte einen Schwellenwert überschreiten. Gleichzeitig starteten sie Abtauzyklen mit abnormalen Einstellungen ohne Zeitbegrenzung.
The Hacker News berichtete von Bränden in mindestens 15 Fällen. Die Staatsanwaltschaft nannte eine Schätzung von rund 20 Bränden. Das Außenministerium bezeichnete die Operation als die erste offensive Cyberkampagne in Frankreich, die rein auf Sabotage ausgerichtet war.
C4 brachte den Kälteangriff außerdem mit gleichzeitigen Angriffen auf Schneider-Electric-Geräte in mehreren kleinen französischen Wasserkraftanlagen in Verbindung. Dort waren die Auswirkungen moderat.
Eine Vorfallwarnung von CERT-FR identifizierte zahlreiche Kompromittierungen bei vier Familien von Kältesteuerungen: Danfoss AK-SM und AK-SC, Copeland xweb und Dixell xweb. In seiner Aktualisierung vom 16. Oktober warnte der französische Dienst für Reaktion auf Sicherheitsvorfälle, dass Kampagnen gegen diese Geräte wahrscheinlich weiterlaufen. Außerdem kritisierte er, dass Verwaltungsoberflächen im Internet erreichbar sind.
In der Woche vor dem Bericht vom 10. November traf eine weitere Welle von Kälteangriffen Supermärkte in mehreren anderen europäischen Ländern. Die französische Zuordnungserklärung befasste sich jedoch nur mit der Oktober-Operation und ging nicht auf diese Angriffe ein.
Die Belege hinter der französischen Zuordnung
Frankreich beschreibt Shahid Kaveh als Einheit, deren öffentliche Präsenz überwiegend in Form von Hacktivisten-Identitäten auftritt, darunter CyberAveng3rs und Cyber Isnaad Front. Diese wurden genutzt, um einzelne Operationen für sich zu reklamieren.
C4 ordnete die Auftraggeberschaft der IRGC und die Durchführung Shahid Kaveh zu und stützte sich dabei auf vier Indikatoren. Im Zentrum sind die nationale Cybersicherheitsbehörde ANSSI, die Geheimdienste DGSE und DGSI, die Rüstungsdirektion und das Cyberverteidigungskommando vertreten.
Ein Indikator verband die Angriffsinfrastruktur mit der Aufklärung – also dem Ausspähen potenzieller Ziele – von Schneider-Electric-Geräten im selben Zeitraum. Solche Geräte kommen unter anderem in kleinen und mittleren Energie- und Wasserproduktionsstandorten zum Einsatz. C4 erklärte, die Methoden der Ausspähung entsprächen Techniken, die Shahid Kaveh seit mindestens April einsetze.
Die übrigen Indikatoren waren die Verwendung von FOFA, einem der Einheit zugeordneten Scan-Werkzeug, eine Berichterstattung über den Angriff bereits am 13. Oktober durch CyberbanNews, einen mit Shahid Kaveh verbundenen Propagandakanal, sowie Spuren des Persischen in der Angriffsinfrastruktur.
Die Staatsanwaltschaft beschrieb weitere Erkenntnisse aus den Ermittlungen der französischen Behörde gegen Cyberkriminalität OFAC und der DGSI: für die Einheit typische Methoden, die Verwendung des Persischen sowie IP-Adressen, die auf Geräte im Iran verweisen.
C4 verwies außerdem auf frühere Behauptungen der Einheit zu Industrieanlagen: Im November 2023 richtete sich eine Kampagne gegen den israelischen Hersteller von Industriesteuerungen Unitronics, zu der sich CyberAveng3rs bekannte. Im März und April folgte eine groß angelegte Sabotagekampagne gegen israelische und US-amerikanische Interessen, zu der auch israelische Kältetechnik gehörte.
Am 9. November leitete die Pariser Staatsanwaltschaft ein gerichtliches Ermittlungsverfahren gegen den Anführer der Einheit, zwei Stellvertreter und weitere, möglicherweise noch zu identifizierende Personen ein und beantragte internationale Haftbefehle. Die mutmaßlichen Straftaten umfassen unbefugte Eingriffe in Computersysteme und Beschädigung mittels Methoden, die Menschen gefährden. Erschwerend kommt der mutmaßliche Zweck hinzu, Iran als fremde Macht zu unterstützen.
Das französische Außenministerium plant, den iranischen Botschafter einzubestellen. Außerdem wird es europäische Partner auffordern, neue Sanktionen gegen beteiligte iranische Organisationen und Personen zu verhängen.
Betreiber sollten Zugriffe einschränken und Konfigurationen prüfen
Die Empfehlungen von CERT-FR beginnen damit, Kältesteuerungen vom direkten Internetzugang zu trennen. Das gilt auch für Geräte, die über öffentliche IP-Adressen erreichbar sind. Bevor Betreiber die Datenverbindung zu einem Kälteanlagenbauer unterbrechen, sollten sie die Bedingungen ihres Versicherungsvertrags prüfen.
Besonders problematisch sind Geräte, deren Lebenszyklus beendet ist und die keine Sicherheitsupdates mehr erhalten. CERT-FR warnt, dass ein Zurücksetzen auf die Werkseinstellungen zwar den dauerhaften Zugriff eines Angreifers entfernen kann, das Gerät aber verwundbar lässt. Bleibt es über das Internet erreichbar, ist eine erneute Kompromittierung nahezu sicher.
Bei nicht kompromittierten Steuerungen rät CERT-FR den Betreibern, die gesamte Konfiguration zu prüfen, besonders die Abtaubereiche. Außerdem sollten die Herstellerempfehlungen umgesetzt werden. Bei Danfoss-Geräten gehören dazu ein Firmware-Update (also die Software, die den Regler betreibt), die Wahl der Sicherheitsstufe Strict und die Sicherstellung, dass Standardpasswörter geändert wurden.
Bei kompromittierten Geräten sieht die Warnung vor, Danfoss-Geräte neu zu starten oder die Steuerungen anderweitig auf Werkseinstellungen zurückzusetzen. Betreiber sollten betroffene Geräte vor der Wiederinbetriebnahme neu konfigurieren und die vom Hersteller empfohlenen Verfahren anwenden.
Für beide Gruppen erklärt CERT-FR, dass der Fernzugriff nur über ein sicheres VPN, eine verschlüsselte Netzwerkverbindung oder ein geschütztes Netz wieder aufgenommen werden sollte. Eine Firewall-Regel, die den Zugriff auf die IP-Adressen der Dienstleister beschränkt, kann als Notmaßnahme dienen. Dauerhaft sollten Betreiber jedoch den geschützten Zugang einrichten.
