Francia ha atribuido a una unidad cibernética militar iraní un ciberataque de octubre que afectó a controladores de refrigeración en unos 700 establecimientos minoristas franceses. The Hacker News informó de que el Gobierno identificó el 9 de noviembre a Shahid Kaveh, parte del Cuerpo de Guardianes de la Revolución Islámica (IRGC) de Irán, tras una operación que echó a perder alimentos y provocó incendios.
Para los operadores de refrigeración, el ataque demuestra las consecuencias físicas del acceso no autorizado a los controles de los equipos. Durante la noche del 11 de octubre, los atacantes elevaron las temperaturas de descongelación; los fiscales afirmaron que también eliminaron los límites de tiempo de los ciclos de descongelación anómalos y desactivaron las alertas de temperatura. El Ministerio de Asuntos Exteriores de Francia estimó las pérdidas de alimentos en varias decenas de millones de euros.
C4, el centro francés de coordinación de crisis cibernéticas, indicó que entre las víctimas figuraban Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché. Las grandes cadenas de distribución representaron la mayoría de las organizaciones afectadas, pero también sufrieron daños los pequeños negocios y plantas de producción de alimentos, como carnicerías, un matadero y plantas cooperativas de alimentación.
El acceso remoto permitió cambiar la configuración de refrigeración
La fiscalía de París afirmó que los atacantes accedieron a los controladores de refrigeración de Danfoss y Dixell a través de interfaces web y los tomaron de forma remota. Desactivaron las alertas de seguridad de las sondas de temperatura, que deberían avisar a los operadores cuando las lecturas superan un umbral, mientras iniciaban ciclos de descongelación con configuraciones anómalas y sin límite de tiempo.
The Hacker News informó de incendios en al menos 15 casos, mientras que los fiscales calcularon unos 20 incendios. El Ministerio de Asuntos Exteriores calificó la operación como la primera campaña ofensiva de ciberataques en Francia realizada únicamente con fines de sabotaje.
C4 también relacionó el ataque a la refrigeración con la selección simultánea de equipos de Schneider Electric en varias pequeñas instalaciones hidroeléctricas francesas, donde los efectos fueron moderados.
Una alerta de incidente de CERT-FR identificó numerosos compromisos en cuatro familias de controladores de refrigeración: Danfoss AK-SM y AK-SC, Copeland xweb y Dixell xweb. En su actualización del 16 de octubre, el servicio francés de respuesta a incidentes advirtió de que las campañas contra estos equipos probablemente continuaban y criticó que las interfaces de gestión estuvieran expuestas a internet.
Durante la semana anterior al informe del 10 de noviembre se produjo una nueva oleada de ataques contra supermercados de otros países europeos. Sin embargo, la declaración de atribución de Francia se refirió a la operación de octubre sin mencionar esos ataques.
Las pruebas detrás de la atribución de Francia
Francia identifica a Shahid Kaveh como una unidad cuya presencia pública se manifiesta sobre todo mediante personas hacktivistas, como CyberAveng3rs y Cyber Isnaad Front, que se utilizan para reivindicar algunas operaciones.
C4 atribuye el patrocinio al IRGC y la ejecución a Shahid Kaveh, basándose en cuatro indicadores. El centro combina la información de la agencia nacional de ciberseguridad ANSSI, de los servicios de seguridad DGSE y DGSI, de la dirección de armamento y del mando de ciberdefensa.
Un indicador vinculó la infraestructura del ataque con labores de reconocimiento, es decir, el escaneo de objetivos potenciales, sobre equipos de Schneider Electric durante el mismo periodo. Estos equipos se utilizan en instalaciones de producción de energía y agua de pequeño y mediano tamaño. C4 afirmó que los métodos de reconocimiento coincidían con las técnicas que Shahid Kaveh había empleado al menos desde abril.
Los otros indicadores fueron el uso por parte de los atacantes de FOFA, una herramienta de escaneo asociada a la unidad; la cobertura del ataque ya el 13 de octubre por CyberbanNews, un medio de propaganda vinculado a Shahid Kaveh; y rastros de persa en la infraestructura del ataque.
La fiscalía describió otros hallazgos de la investigación penal llevada a cabo por la oficina francesa contra el cibercrimen, OFAC, y la DGSI: métodos típicos de la unidad, uso del persa y direcciones IP que apuntan a dispositivos en Irán.
C4 también citó las reivindicaciones previas de la unidad sobre equipos industriales: una campaña de noviembre de 2023 contra el fabricante israelí de sistemas de control industrial Unitronics, reivindicada a través de CyberAveng3rs, y una amplia campaña de sabotaje entre marzo y abril contra intereses israelíes y estadounidenses que incluyó equipos de refrigeración israelíes.
El 9 de noviembre, la fiscalía de París abrió una investigación judicial contra el líder de la unidad, dos de sus adjuntos y otras personas que podrían ser identificadas, y solicitó órdenes de detención internacionales. Los presuntos delitos incluyen la intromisión ilícita en sistemas informáticos y los daños causados por medios peligrosos para las personas, con agravantes vinculados a la presunta intención de servir a Irán como potencia extranjera.
El Ministerio de Asuntos Exteriores de Francia prevé convocar al embajador iraní y pedir a sus socios europeos que impongan nuevas sanciones a las organizaciones y personas iraníes implicadas.
Los operadores deben restringir el acceso y revisar las configuraciones
La guía de respuesta de CERT-FR empieza por retirar los controladores de refrigeración del acceso directo a internet, incluidas las unidades accesibles mediante direcciones IP públicas. Antes de interrumpir el flujo de datos a un contratista de refrigeración, los operadores deben revisar las condiciones de su contrato de seguro.
Los equipos que han llegado al fin de su vida útil y ya no reciben parches de seguridad plantean un problema particular. CERT-FR advierte de que un restablecimiento de fábrica puede eliminar el acceso persistente del atacante, pero deja el dispositivo vulnerable; si sigue expuesto a internet, otro compromiso es casi seguro.
Para los controladores que no han sido comprometidos, CERT-FR aconseja revisar toda la configuración, prestando especial atención a los rangos de descongelación. También deben aplicarse las recomendaciones del fabricante. En el caso de los dispositivos Danfoss, estas incluyen actualizar el firmware, es decir, el software que ejecuta el controlador, seleccionar el nivel de seguridad Strict y comprobar que se han cambiado las contraseñas predeterminadas.
En el caso de los equipos comprometidos, la alerta pide reiniciar los dispositivos Danfoss o devolver los controladores a la configuración de fábrica por otros medios. Los operadores deben reconfigurar los dispositivos afectados antes de volver a ponerlos en servicio y aplicar las prácticas recomendadas por el fabricante.
Para ambos grupos, CERT-FR indica que el acceso remoto solo debe reanudarse a través de una VPN segura, una conexión de red cifrada o una red protegida. Una regla de cortafuegos que restrinja el acceso a las direcciones IP de los contratistas puede servir como medida de emergencia, pero los operadores deben establecer el acceso protegido como solución definitiva.
