La France attribue une cyberattaque d'octobre, qui a touché des contrôleurs de réfrigération sur environ 700 sites de distribution français, à une unité cyber militaire iranienne. The Hacker News a rapporté que le gouvernement a désigné, le 9 novembre, Shahid Kaveh, qui fait partie du Corps des gardiens de la révolution islamique (CGRI), après une opération ayant altéré des denrées alimentaires et provoqué des incendies.
Pour les exploitants d'installations frigorifiques, l'attaque illustre les conséquences physiques d'un accès non autorisé aux commandes des équipements. Pendant la nuit du 11 octobre, les attaquants ont relevé les températures de dégivrage ; selon le parquet, ils ont aussi supprimé les limites de durée des cycles de dégivrage anormaux et désactivé les alertes de température. Le ministère français des Affaires étrangères estime les pertes alimentaires à plusieurs dizaines de millions d'euros.
Parmi les victimes figurent Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché, a indiqué C4, le centre de coordination des crises cyber en France. Les grandes enseignes représentent la plupart des organisations touchées, mais de petites entreprises et des sites de production alimentaire ont également subi des dégâts, notamment des boucheries, un abattoir et des usines coopératives agroalimentaires.
Un accès à distance a permis de modifier les réglages de réfrigération
Le parquet de Paris indique que les attaquants ont atteint les contrôleurs de réfrigération Danfoss et Dixell par leurs interfaces web et ont pris le contrôle à distance. Ils ont désactivé les alertes de sécurité émises par les sondes de température, censées prévenir les exploitants lorsque les relevés dépassent un seuil, tout en lançant des cycles de dégivrage aux paramètres anormaux et sans limite de durée.
The Hacker News fait état d'incendies dans au moins quinze cas ; le parquet avance une estimation d'une vingtaine d'incendies. Le ministère des Affaires étrangères qualifie l'opération de première campagne cyber offensive menée en France uniquement à des fins de sabotage.
C4 rattache également l'attaque contre la réfrigération à la mise en cause simultanée d'équipements Schneider Electric dans plusieurs petites installations hydroélectriques françaises, où les effets ont été modérés.
Une alerte d'incident du CERT-FR a relevé de nombreuses compromissions touchant quatre familles de contrôleurs de réfrigération : Danfoss AK-SM et AK-SC, Copeland xweb et Dixell xweb. Dans sa mise à jour du 16 octobre, le service français de réponse aux incidents a averti que les campagnes visant ces équipements étaient probablement toujours en cours, et il a critiqué l'exposition des interfaces de gestion sur Internet.
Une nouvelle vague d'attaques contre des systèmes de réfrigération a touché des supermarchés dans plusieurs autres pays européens au cours de la semaine précédant le rapport du 10 novembre. La déclaration d'attribution de la France portait sur l'opération d'octobre sans évoquer ces attaques.
Les preuves à l'appui de l'attribution française
La France décrit Shahid Kaveh comme une unité dont la présence publique prend surtout la forme de personas hacktivistes, notamment CyberAveng3rs et Cyber Isnaad Front, utilisés pour revendiquer certaines opérations.
C4 attribue le parrainage au CGRI et l'exécution à Shahid Kaveh, en s'appuyant sur quatre indicateurs. Le centre réunit l'ANSSI, agence nationale de la sécurité des systèmes d'information, les services de sécurité DGSE et DGSI, la direction générale de l'armement et le commandement de la cyberdéfense.
Un indicateur relie l'infrastructure d'attaque à une phase de reconnaissance, c'est-à-dire à la recherche de cibles potentielles, visant des équipements Schneider Electric sur la même période. Ces équipements sont utilisés notamment dans de petites et moyennes installations de production d'énergie et d'eau. Selon C4, les méthodes de repérage correspondaient aux techniques que Shahid Kaveh emploie depuis avril au moins.
Les autres indicateurs sont l'utilisation de FOFA, un outil de balayage associé à l'unité, la couverture de l'attaque dès le 13 octobre par CyberbanNews, un média de propagande lié à Shahid Kaveh, et la présence de traces de persan dans l'infrastructure d'attaque.
Le parquet a décrit d'autres éléments issus de l'enquête pénale menée par l'Office anticybercriminalité (OFAC) et la DGSI : des méthodes typiques de l'unité, l'usage du persan et des adresses IP renvoyant à des appareils situés en Iran.
C4 cite également les revendications antérieures de l'unité concernant des équipements industriels : une campagne de novembre 2023 contre le fabricant israélien de systèmes de contrôle industriel Unitronics, revendiquée par CyberAveng3rs, et une vaste campagne de sabotage menée en mars et avril contre des intérêts israéliens et américains, qui incluait des équipements de réfrigération israéliens.
Le 9 novembre, le parquet de Paris a ouvert une information judiciaire visant le chef de l'unité, deux adjoints et d'autres personnes susceptibles d'être identifiées, et il a demandé des mandats d'arrêt internationaux. Les infractions retenues comprennent l'atteinte à des systèmes de traitement automatisé de données et des dommages causés par des moyens dangereux pour les personnes, avec des circonstances aggravantes liées à la volonté présumée de servir l'Iran en tant que puissance étrangère.
Le ministère français des Affaires étrangères prévoit de convoquer l'ambassadeur d'Iran et de demander à ses partenaires européens d'imposer de nouvelles sanctions aux organisations et aux personnes iraniennes impliquées.
Les exploitants doivent restreindre l'accès et vérifier les configurations
Les recommandations du CERT-FR commencent par le retrait des contrôleurs de réfrigération de tout accès direct à Internet, y compris les appareils joignables via des adresses IP publiques. Avant d'interrompre le flux de données vers un prestataire de réfrigération, les exploitants doivent vérifier les clauses de leur contrat d'assurance.
Les équipements en fin de vie, qui ne reçoivent plus de correctifs de sécurité, posent un problème particulier. Le CERT-FR avertit qu'une réinitialisation d'usine peut supprimer l'accès persistant d'un attaquant, tout en laissant l'appareil vulnérable ; s'il reste exposé à Internet, une nouvelle compromission est quasiment certaine.
Pour les contrôleurs qui n'ont pas été compromis, le CERT-FR conseille aux exploitants d'examiner l'ensemble de la configuration, en portant une attention particulière aux plages de dégivrage. Les recommandations des fabricants doivent aussi être appliquées. Pour les appareils Danfoss, cela implique de mettre à jour le micrologiciel, c'est-à-dire le logiciel qui fait fonctionner le contrôleur, de sélectionner le niveau de sécurité Strict et de s'assurer que les mots de passe par défaut ont été modifiés.
Pour les équipements compromis, l'alerte demande de redémarrer les appareils Danfoss ou, à défaut, de rétablir les réglages d'usine des contrôleurs. Les exploitants doivent reconfigurer les appareils concernés avant de les remettre en service et appliquer les pratiques recommandées par le fabricant.
Pour les deux groupes, le CERT-FR indique que l'accès à distance ne doit reprendre qu'au moyen d'un VPN sécurisé, d'une connexion réseau chiffrée ou d'un réseau protégé. Une règle de pare-feu limitant l'accès aux adresses IP des prestataires peut servir de mesure d'urgence, mais les exploitants doivent mettre en place cet accès protégé comme solution durable.
