Ekim ayında yaklaşık 700 Fransız perakende sitesiindeki soğutma kontrol cihazlarına yönelik siber saldırı, Fransız hükümetinin dün açıklamasına göre İran'ın İslam Devrim Muhafızları Ordusu'nun siber birimi tarafından gerçekleştirildi.
Saldırganlar 11 Ekim gecesi kontrol cihazlarına girdi ve çözme ayarlarını yüksek sıcaklıklara değiştirdi. Bu durum gıda kayıplarına ve en az 15 vakada yangınlara yol açtı.
Birim Shahid Kaveh adını taşıyor. Fransa'ya göre birim esas olarak CyberAveng3rs ve Cyber Isnaad Front gibi hacktivist kişilikler aracılığıyla biliniyor ve bu kişilikler bazı saldırılarını kamuoyuna duyuruyor.
Fransa Dışişleri Bakanlığı İran'ın büyükelçisini çağırmayı planlıyor ve saldırıya karışan İranlı örgütler ve kişiler hakkında yeni yaptırımlar uygulaması için Avrupa ortaklarına çağrıda bulunacak.
Paris savcılığı dün birim başkanı, iki yardımcısı ve tespit edilen diğer kişiler hakkında adli soruşturma başlattı. Uluslararası tutuklama emri talep edildi. Soruşturma konusu suçlar arasında bilgisayar sistemlerine yasa dışı müdahale ve İran'a hizmet amacı ile ağırlaştırılmış şekilde insanlara tehlikeli yöntemlerle zarar verme bulunuyor.
Ekim saldırısında saldırganlar savcılığın basın açıklamasına göre Danfoss ve Dixell soğutma kontrol cihazlarını web arayüzleri üzerinden uzaktan kontrol altına aldı. Zaman sınırı olmayan anormal çözme döngüleri başlattılar ve belirli bir sıcaklığın üzerinde devreye girmesi gereken sıcaklık probu güvenlik uyarılarını kapattılar. Saldırı yaklaşık 20 yangına neden oldu.
Fransa'nın siber kriz koordinasyon merkezi C4'ün ortak raporuna göre etkilenen kuruluşların çoğu büyük perakendeciler. Bunlar arasında Casino, Leclerc, Coopérative U, Metro, Carrefour ve Intermarché yer alıyor.
Küçük kasap dükkanları, bir mezbaha ve kooperatif gıda tesisleri de mağdurlar arasındaydı.
Merkez saldırıyı Fransa'daki birkaç küçük hidroelektrik santralinde Schneider Electric ekipmanlarının eş zamanlı hedef alınmasıyla da ilişkilendirdi. Bu ekipmanlardaki etkiler orta düzeyde kaldı.
Atıf açıklamasında bakanlık gıda kayıplarını birkaç on milyon euro olarak tahmin etti ve operasyonu Fransa topraklarında tamamen sabotaj amacıyla gerçekleştirilen ilk saldırgan siber kampanya olarak nitelendirdi.
Fransa Saldırıyı İran'a Nasıl Bağladı
C4, Fransa'nın ulusal siber güvenlik ajansı ANSSI, DGSE ve DGSI güvenlik servisleri, silahlanma müdürlüğü ve siber savunma komutanlığını bir araya getiriyor. Saldırının sponsoru olarak IRGC'yi ve saldırıyı gerçekleştiren birim olarak Shahid Kaveh'yi gösteren dört gösterge olduğunu belirtiyor.
Saldırıda kullanılan altyapı aynı dönemde Schneider Electric ekipmanlarının keşfi için de kullanıldı. Bu ekipmanlar küçük ve orta ölçekli enerji ve su üretim tesisleri gibi yerlerde kuruludur. Keşif, Shahid Kaveh'in en az Nisan ayından beri kullandığı tekniklere dayanıyordu.
Saldırganlar ayrıca genellikle kullandıkları bir tarama aracı olan FOFA'yı da kullandı. Birimle bağlantılı propaganda yayını CyberbanNews, saldırıyı 13 Ekim'de bildirdi. Saldırı altyapısında Farsça izler de bulundu.
Savcılar, Fransa'nın siber suçlarla mücadele ofisi OFAC ve DGSI tarafından yürütülen ceza soruşturmasında birime özgü tipik bir saldırı yöntemi tespit edildiğini söyledi. Ayrıca Farsça kullanım ve İran'daki cihazlara işaret eden IP adresleri bulundu.
C4'e göre Shahid Kaveh daha önce endüstriyel ekipmanlara yönelik saldırıları üstlendi. CyberAveng3rs aracılığıyla Kasım 2023'te endüstriyel kontrol sistemleri üreten İsrailli şirket Unitronics'e yönelik önceki bir kampanyayı duyurdu. Mart ve Nisan aylarında İsrail ve ABD çıkarlarına yönelik büyük bir sabotaj kampanyasını da duyurdu; bu kampanya endüstriyel kontrol ekipmanlarını, İsrail'deki soğutma ekipmanları da dahil olmak üzere vurdu.
Fransa'nın atfı, geçen hafta Avrupa'nın diğer birkaç ülkesindeki süpermarketleri vuran yeni soğutma saldırıları dalgasından bahsetmiyor.
Operatörlerin Yapması Gerekenler
Fransa'nın CERT-FR'i bir olay uyarısında, dört ürün ailesindeki uzaktan soğutma kontrol cihazlarını etkileyen çok sayıda ihlalden haberdar olduğunu belirtti. Bunlar Danfoss AK-SM ve AK-SC serisi, Copeland xweb ve Dixell xweb.
16 Ekim'de son güncellenen uyarı, bu ekipmana yönelik saldırı kampanyalarının muhtemelen devam ettiği konusunda uyardı ve bir yönetim arayüzünü internete açmanın iyi uygulamaya aykırı olduğunu belirtti.
İhlal edilmemiş kontrol cihazları için uyarıda şu adımlar yer alıyor:
Bu ünitelerden ve genel IP adresinde erişilebilen her ünite üzerinden internet erişimini kaldırın.
Soğutma yüklenicisine veri akışını kesmeden önce sigorta sözleşmesi şartlarını kontrol edin.
Tüm yapılandırmayı, özellikle çözme aralıklarını gözden geçirin.
Erişimi yalnızca güvenli bir VPN veya korunan bir ağ üzerinden geri yükleyin. Acil durumda yüklenicilerin IP adreslerini güvenlik duvarında filtrelemek mümkün, ancak bu kalıcı bir çözüm değil.
Üreticinin önerdiği uygulamaları izleyin. Danfoss cihazları için bu, ürün yazılımını güncellemeyi, güvenlik seviyesini Katı olarak ayarlamayı ve varsayılan parolaların değiştirildiğinden emin olmayı içeriyor.
İhlal edilmiş kontrol cihazları için adımlar şunlar:
İnternet erişimini kaldırın ve sigorta şartlarını yukarıda olduğu gibi kontrol edin.
Danfoss ekipmanını yeniden başlatın veya cihazı fabrika ayarlarına geri yükleyin.
Erişimi yalnızca güvenli bir VPN veya korunan bir ağ üzerinden geri yükleyin. Yukarıda belirtildiği gibi yüklenicilerin IP adreslerinin güvenlik duvarında filtrelenmesi acil bir seçenek, kalıcı bir çözüm değil.
Cihazı tekrar hizmete almadan önce yeniden yapılandırın, ardından üreticinin önerdiği uygulamaları izleyin.
Uyarı, güvenlik düzeltmesi almayan son kullanma tarihi geçmiş bir cihazın internete açık kalması halinde ihlal riskinin çok yüksek olduğunu belirtiyor. Bu durumda fabrika ayarlarına sıfırlama tek başına yeterli değil: saldırganların kalıcılığını kaldırır, ancak cihaz savunmasız kalır ve neredeyse kesinlikle yeniden ihlal edilir.
