La Francia ha attribuito a un'unità cyber militare iraniana un attacco informatico avvenuto a ottobre, che ha colpito i controller di refrigerazione di circa 700 punti vendita al dettaglio francesi. Secondo quanto riportato da The Hacker News, il governo ha identificato il 9 novembre Shahid Kaveh, parte del Corpo delle Guardie della Rivoluzione Islamica (IRGC), dopo un'operazione che ha causato la perdita di alimenti e incendi.
Per gli operatori della refrigerazione, l'attacco dimostra le conseguenze fisiche di un accesso non autorizzato ai comandi delle apparecchiature. Nella notte dell'11 ottobre, gli aggressori hanno alzato le temperature di sbrinamento; secondo la procura, hanno anche rimosso i limiti di tempo dei cicli di sbrinamento anomali e disattivato gli avvisi di temperatura. Il ministero degli Esteri francese ha stimato perdite alimentari pari a diverse decine di milioni di euro.
Tra le vittime figurano Casino, Leclerc, Coopérative U, Metro, Carrefour e Intermarché, ha dichiarato C4, il centro di coordinamento per le crisi cyber francese. Sono state soprattutto le grandi catene della distribuzione a subire il maggior numero di danni, ma anche attività più piccole e impianti di produzione alimentare hanno riportato danni, tra cui macellerie, un mattatoio e cooperative alimentari.
L'accesso remoto ha permesso di modificare le impostazioni di refrigerazione
La procura di Parigi ha spiegato che gli aggressori sono riusciti ad accedere ai controller di refrigerazione Danfoss e Dixell tramite interfacce web, assumendone il controllo da remoto. Hanno disattivato gli avvisi di sicurezza delle sonde di temperatura, che dovrebbero segnalare agli operatori quando le letture superano una soglia, e hanno avviato cicli di sbrinamento con impostazioni anomale e senza limiti di tempo.
Secondo The Hacker News, si sono verificati incendi in almeno quindici casi, mentre la procura ne ha stimati circa venti. Il ministero degli Esteri ha descritto l'operazione come la prima campagna offensiva cyber in Francia condotta esclusivamente a scopo di sabotaggio.
C4 ha inoltre collegato l'attacco alla refrigerazione con l'attacco simultaneo ad apparecchiature Schneider Electric in alcuni piccoli impianti idroelettrici francesi, dove gli effetti sono stati moderati.
Un avviso di incidente del CERT-FR ha individuato numerose compromissioni in quattro famiglie di controller di refrigerazione: Danfoss AK-SM e AK-SC, Copeland xweb e Dixell xweb. Nell'aggiornamento del 16 ottobre, il servizio francese di risposta agli incidenti ha avvertito che le campagne contro queste apparecchiature erano probabilmente ancora in corso e ha criticato l'esposizione delle interfacce di gestione su internet.
Un'ulteriore ondata di attacchi alla refrigerazione ha colpito supermercati in altri paesi europei nella settimana precedente il rapporto del 10 novembre, ma la dichiarazione francese di attribuzione riguardava solo l'operazione di ottobre e non ha affrontato quegli attacchi.
Le prove alla base dell'attribuzione della Francia
La Francia identifica Shahid Kaveh come un'unità la cui presenza pubblica si manifesta in gran parte attraverso personaggi hacktivisti, tra cui CyberAveng3rs e Cyber Isnaad Front, usati per rivendicare alcune operazioni.
C4 ha attribuito la sponsorizzazione all'IRGC e l'esecuzione a Shahid Kaveh sulla base di quattro indicatori. Il centro riunisce l'agenzia nazionale per la sicurezza informatica ANSSI, i servizi di sicurezza DGSE e DGSI, la direzione degli armamenti e il comando per la difesa cyber.
Un indicatore collega l'infrastruttura dell'attacco alla ricognizione, ovvero all'individuazione di potenziali bersagli, di apparecchiature Schneider Electric nello stesso periodo. Tali apparecchiature sono utilizzate in impianti, tra cui piccoli e medi siti di produzione di energia e acqua. Secondo C4, i metodi di ricognizione corrispondevano a tecniche usate da Shahid Kaveh almeno da aprile.
Gli altri indicatori sono l'uso di FOFA, uno strumento di scansione associato all'unità, la copertura dell'attacco da parte di CyberbanNews già il 13 ottobre, un canale di propaganda legato a Shahid Kaveh, e tracce di persiano nell'infrastruttura dell'attacco.
La procura ha descritto ulteriori elementi emersi dall'indagine penale condotta dall'Ufficio centrale per la lotta alla criminalità informatica (OFAC) e dalla DGSI: metodi tipici dell'unità, uso del persiano e indirizzi IP riconducibili a dispositivi in Iran.
C4 ha inoltre richiamato le precedenti rivendicazioni dell'unità riguardo ad apparecchiature industriali: una campagna del novembre 2023 contro il produttore israeliano di sistemi di controllo industriale Unitronics, rivendicata tramite CyberAveng3rs, e un'ampia campagna di sabotaggio tra marzo e aprile contro interessi israeliani e statunitensi, che includeva apparecchiature di refrigerazione israeliane.
Il 9 novembre, la procura di Parigi ha avviato un'indagine giudiziaria che riguarda il capo dell'unità, due vice e altre persone che potrebbero essere identificate, e ha chiesto mandati di arresto internazionali. I reati ipotizzati includono l'accesso abusivo a sistemi informatici e danni causati con mezzi pericolosi per le persone, con aggravanti legate allo scopo presunto di servire l'Iran come potenza straniera.
Il ministero degli Esteri francese intende convocare l'ambasciatore iraniano e chiedere ai partner europei di imporre nuove sanzioni alle organizzazioni e alle persone iraniane coinvolte.
Gli operatori dovrebbero limitare l'accesso e verificare le configurazioni
Le indicazioni di risposta del CERT-FR iniziano dalla rimozione dei controller di refrigerazione dall'accesso diretto a internet, comprese le unità raggiungibili tramite indirizzi IP pubblici. Prima di interrompere il flusso di dati verso un fornitore di servizi di refrigerazione, gli operatori dovrebbero verificare le condizioni del proprio contratto assicurativo.
Un problema particolare riguarda le apparecchiature giunte a fine vita, che non ricevono più correzioni di sicurezza. Il CERT-FR avverte che un ripristino alle impostazioni di fabbrica può rimuovere l'accesso persistente di un aggressore, ma lascia il dispositivo vulnerabile: se resta esposto a internet, una nuova compromissione è quasi certa.
Per i controller che non sono stati compromessi, il CERT-FR consiglia agli operatori di esaminare l'intera configurazione, prestando particolare attenzione agli intervalli di sbrinamento. Vanno inoltre applicate le raccomandazioni del produttore. Per i dispositivi Danfoss, queste includono l'aggiornamento del firmware, ovvero del software che gestisce il controller, la selezione del livello di sicurezza Strict e la verifica che le password predefinite siano state modificate.
Per le apparecchiature compromesse, l'avviso prevede il riavvio dei dispositivi Danfoss o il ripristino delle impostazioni di fabbrica dei controller. Gli operatori dovrebbero riconfigurare i dispositivi interessati prima di rimetterli in servizio e applicare le buone pratiche raccomandate dal produttore.
Per entrambi i casi, il CERT-FR afferma che l'accesso remoto dovrebbe riprendere solo attraverso una VPN sicura, una connessione di rete cifrata o una rete protetta. Una regola firewall che limiti l'accesso agli indirizzi IP dei fornitori può servire come misura d'emergenza, ma gli operatori dovrebbero stabilire un accesso protetto come soluzione definitiva.
