Salğdırganlar 2 Kasım Pazartesi gününe giren gecede Belçika, İsveç, Estonya ve diğer Avrupa ülkelerindeki süpermarketlerdeki soğutma kontrollerinin ayarlarını uzaktan değiştirdi, buzdolapları ve dondurucular ısındı.
Hiçbir zincir etkilenen mağaza sayısının birkaç düzineden fazla olduğunu bildirmedü ve bazıları soğutulmuş ve dondurulmuş gıdayı atmak zorunda kaldı ya da raflardan çekti. Danimarkalı soğutma kontrol üreticisi Danfoss, ürünlerinin etkilendiğini söyledi; saldırganların üç hafta önce yüzlerce Fransız süpermarketine saldırdığı olayda da ürünleri hedef alınmıştı.
Pazartesi gecesi itibarıyla saldırıları kimse üstlenmemişti ve bunların Fransa'daki saldırıyla bağlantılı olup olmadığı bilinmiyordu.
Soğutma kontrolleri bir mağazanın buzdolaplarını ve dondurucularını çalıştıran bilgisayarlar. İnternete bağlanabiliyorlar; böylece soğutma yüklenicileri onları uzaktan izleyip arızaları giderebiliyor.
Belçika'da saldırganlar soğutma ünitelerini çözme moduna aldı. Soğutma yüklenicisi Sabcobel'in genel müdürü Stephan Moelans Belçika medyasına bunu söyledi. Çözme modu buzları temizlemek için tasarlanmıştır, ancak bu saldırılarda ünitelerin soğutmak yerine ısınmasına yol açtı. Sabcobel süpermarket zinciri Delhaize için soğutma sistemlerini yönetiyor.
Diğer durumlarda sıcaklık ayarı yükseltildi. Güney İsveç'teki Sjöbo'daki bir ICA mağazısı buzdolapları ve dondurucularının 50°C'ye ayarlandığını ve personelin etkilenen ürünleri attığını söyledi.
Estonya'daki bir Selver süpermarketinde bir dondurucu 50°C'ye ayarlanmıştı. Soğutma tedarikçisi Kitman Coldtech'in genel müdürü Jann Mutso bunu söyledi. Sıcaklık sadece yaklaşık 2-3°C yükseldi ve sorun yaklaşık 10 dakika içinde çözüldü, ürün hasar görmedi.
The Hacker News'in 3 Kasım'da kontrol ettiği sırada Danfoss'un güvenlik uyarıları sayfasında saldırılarla ilgili bir uyarı listelenmiyordu. Operatörler için en ayrıntılı adımlar hâlâ Fransa'nın ulusal siber güvenlik ajansının bir parçası olan CERT-FR'den gelen Ekim tarihli uyarıda yer alıyor.
Hangi Şirketler Etkilendiğini Söyledi
Her şirket olayı kendi ifadeleriyle anlattı ve hepsi bunu siber saldırı olarak nitelendirmedi.
Ne söylendi
Belçika'da çoğunlukla birkaç düzine, Lüksemburg'da birkaçı
"BT olayı" soğutmayı etkiledi. Taze ve dondurulmuş gıda yelpazesi geçici olarak sınırlı oldu.
700'den fazla mağazadan 15'i
Soğutmasında siber saldırı, çok sınırlı etkiyle.
10 ila 15
Bzdolaplarında sorunlar.
Colruyt Group altında Spar
Bağımsız sahipler tarafından yürütülen 5 mağaza
Buzdolabı sistemleri saldırıya uğradı.
Mons'ta 1 mağaza
Bir siber olay mağazanın buzdolaplarını ve dondurucularını vurdu. Belçika'daki diğer hiçbir IKEA mağazısı etkilenmedi.
Sınırlı sayı. Sayı verilmedi
Bir olay soğutma ve dondurucu sistemlerini etkiledi. ICA siber saldırıyı doğrulamadı.
Hakkında 800 mağazadan 6'sı (TT ve AFP'ye) ya da 7'si (Reuters ve Bloomberg'e)
Birinin soğutmasını izinsiz olarak bozduğu bir siber olay.
SuperValu'nun sahibi Musgrave
223'ten 13'ü
Bir soğutma modeliyle sınırlı "siber olay".
Tedarikçi Kitman Coldtech aracılığıyla Selver
Eski bir Danfoss sistemine saldırı.
Adı verilmeyen işletmeler
Kasaplar ve küçük yerel mağazalar da dahil en az 17 işletme
Danfoss'a göre saldırıya uğradı.
Birkaç küçük mağaza
Alışılmadık sıcaklıklar. Neden araştırılıyor. Mağazaların ekipmanı Kesko'nun merkezi korumaları dışında.
Intermarché, Mosqueteiros grubu
AFP'ye göre soğutmayı yöneten dış bir şirkete yönelmiş gibi görünen bir siber saldırı.
Radenza Group tarafından yürütülen Coop süpermarketleri
Sicilya'da en az 4'ü
AFP'ye göre dondurulmuş gıda bölümlerinin uzaktan kontrol sistemine saldırı.
Hove'de, Antwerp'in güneyinde, De Laet & Van Haver kasabında buzdolapları 18°C'ye kadar yükseltildi, sahibi Luc De Laet Reuters'a söyledi. Yaklaşık 15.000 euro değerinde etin bozulduğunu tahmin etti.
13 SuperValu mağazısında Musgrave önlem olarak soğutulmuş ve dondurulmuş ürünleri satıştan kaldırdı. Şirket Pazartesi öğleden sonra olayın çözüldüğünü ve yeniden stoklamanın başladığını söyledi.
Şirketler Ekipman ve Erişim Yolu Hakkında Ne Söyledi
Vurulan sistemlerin birkaçı Danfoss tarafından yapıldı. ICA'nın etkilenen tüm mağazaları Danfoss tarafından tedarik edilen dış bir soğutma kontrol sistemine bağlıydı, ICA sözcüsü AFP'ye söyledi. Estonya'da saldırganlar eski bir Danfoss sisteminin kontrol bilgisayarına ulaştı, Mutso söyledi.
Danfoss her durumda adı geçmiyor. Musgrave'in açıklaması etkilenen modelin üreticisini adlandırmadı.
Belçika'da etkilenen bir kasap, Hollanda yayıncısı NOS'a ikinci bir üretici olan Copeland'dan ekipmanın da Belçika'da saldırıya uğradığını söyledi. Copeland NOS'un saldırılarla ilgili sorularına net bir yanıt vermedi.
Hollanda'da vurulan sistemler güvenli bir ağ üzerinde değildi ve varsayılan şifreleri kullanıyordu, bir Danfoss sözcüsü NOS'a söyledi. Fransız saldırısından sonra orada çoğu mağaza önlem almıştı, ancak birkaçı almamıştı ve onlar vurulanlar oldu.
Danfoss ayrıca Belçika yayıncısı VTM'ye zayıflığın büyük ölçüde güncel olmayan yazılımdan kaynaklandığını ve güncelleme yapmayan müşterilerin etkilendiğini söyledi, Euronews bildirdi.
Sabcobel Belçika'da yönettiği yüzlerce ünite arasında yaklaşık 20 etkilenen ünite biliyor. Belçika vakalarında saldırganlar bireysel süpermarketlerin sistemlerine girdi, soğutma yüklenicilerinin sistemlerine değil, Moelans Belçika medyasına söyledi. Sabcobel mağazalara internet bağlantılarını güvenceye almasını önerdi ve birçoğu bunu yaptı, hepsi değil.
Mutso güncellenmemiş eski kontrol cihazlarının hedef alındığını söyledi. Selver vurulan mağazanın yeni bir sisteme geçmediği son mağaza olduğunu söyledi. ICA NBC News'e kendi sistemlerinin etkilenmediğini ve etkilenen mağazaların dış bir tedarikçi kullandığını ve ICA'nın merkezi ağı dışında bir ağa bağlı olduğunu söyledi.
Belçika Siber Güvenlik Merkezi Pazartesi günü gazetecilere daha fazla bilgisi olmadığını söyledi. İsveç Ulusal Siber Güvenlik Merkezi duyurusunda saldırganların nasıl girdiğini belirtmedi.
Operatörler Ne Yapabilir
CERT-FR'nin uyarısı Danfoss AK-SM ve AK-SC serisi kontrol cihazlarının yanı sıra Copeland xweb ve Dixell xweb'i kapsıyor. Bu cihazlara karşı saldırı kampanyalarının muhtemelen hâlâ devam ettiğini söylüyor. The Hacker News'in 3 Kasım'da kontrol ettiği sırada uyarı en son 16 Ekim'de güncellenmişti.
Cihazlar hiçbir şekilde tehlikeye atılmamışsa yapılması gereken adımlar şunlardır:
Cihazların internetten ulaşılamayacağından emin olun, kamuya açık IP adresindeki her cihaz dahil. Soğutma yüklenicinize veri beslemesini kesmeden önce sigorta sözleşmenizi kontrol edin.
Tüm konfigürasyonu, özellikle çözme programlarını kontrol edin.
Erişimi yalnızca güvenli bir VPN veya korunan bir ağ üzerinden geri yükleyin. Acil durumda yüklenicilerin IP adreslerini bir güvenlik duvarında filtreleyebilirsiniz, ancak bu kalıcı bir çözüm olmamalıdır.
Üreticinin iyi uygulama rehberlerini takip edin, yüzey yazılımını güncellemek gibi. Danfoss cihazları için güvenlik seviyesini Sıkı olarak ayarlayın ve varsayılan şifrelerin değiştirildiğinden emin olun.
Bir cihaz tehlikeye atıldıysa iki adım daha izler: Danfoss cihazını yeniden başlatın ya da fabrika ayarlarına sıfırlayın, sonra hizmete geri koymadan önce yeniden konfigüre edin.
Güvenlik düzeltmeleri almayan üretim sonu cihazlarının internette kalması halinde çok muhtemelen tehlikeye atılacağını CERT-FR uyarıyor. Yalnızca fabrika sıfırlaması onları tekrar saldırıya açık bırakır. Ekimde Danfoss Fransa'da vurulan birimlerin çoğunun artık güncelleme yapmadığı eski modeller AK-SM 800 ve AK-SC 355 olduğunu söyledi.
Danfoss 13 Ekim'de Hollanda müşterilerine sistemlerini internetten ayırmalarını ve yalnızca güvenli bir ağ üzerinden yeniden bağlamalarını önerdi. Ayrıca müşterilerle çözümler uygulamaya çalışıyordu.
İsveç Ulusal Siber Güvenlik Merkezi kurumlara hangi cihazların internete bağlı olduğunu listelemelerini, her birinin bağlı olması gerekip gerekmediğine karar vermelerini ve bağlı kalacaklarını güncel tutmalarını ve birden fazla güvenlik katmanıyla korumalarını önerdi.
Moelans yalnızca yazılım güncellesinin yeterli olmadığını söyledi, çünkü kurulumlar para maliyeti olan fiziksel değişiklikler gerektiriyor. En basit çözüm buzdolaplarını yönetmek için güvenli bir internet bağlantısı ve Fransız saldırısından sonra Sabcobel'in çoğu müşterisi bunu benimsedi.
Kimlerin Arkasında Olduğu
Danfoss Hollanda saldırılarının Fransa'dakiyle aynı türde olduğunu söyledi, Sabcobel aynı yöntemin Belçika'da kullanıldığını söyledi ve Kitman Estonya'daki yöntemin benzer olduğunu söyledi. Ortak bir yöntem aynı kişilerin her iki saldırıyı da gerçekleştirdiğini göstermez.
Belçika Siber Güvenlik Merkezi Pazartesi günü saldırıların arkasında kimlerin olduğunun bilinmediğini ve "asla belirlenemeyebileceğini" söyledi.
Belçika federal savcılığı ceza soruşturması açtığını VRT'ye doğrulandı. İsveç Ulusal Siber Güvenlik Merkezi Pazartesi günü olayları takip ettiğini ve diğer Kuzey ve Avrupa ülkelerindeki kurumlarla bilgi paylaştığını söyledi.
