Hacker heizen Kühlregale auf 50 Grad auf, 4.500 Danfoss-Steuerungen bleiben im Netz

Angreifer übernahmen über Nacht aus der Ferne die Kontrolle über Kühl- und Gefrierschränke in mindestens 350 französischen Supermärkten, schalteten sie auf Abtauen und ließen die Temperatur auf bis zu 50 °C steigen. Bei Intermarché blieben die Kühlschränke in rund 150 Filialen sechs Stunden lang so heiß; sämtliche darin gelagerten Produkte mussten weggeworfen werden. Der Zugang führte über die Steuerungseinheit für die Kühlregale eines ganzen Geschäfts: einen Danfoss-Regler, den Kältetechniker über das Internet bedienen.

Für die Kundschaft bedeutete das gesperrte Tiefkühlgänge. In der Pariser Innenstadt kippten Mitarbeitende wagenweise aufgetautes Fleisch und geschmolzenes Eis in riesige Müllcontainer. Für alle anderen reicht das Problem weit über Frankreich hinaus. Über die Suchmaschine Shodan fand Reuters nach dem Angriff mindestens 4.500 Danfoss-Schnittstellen, die weiterhin online sichtbar waren. Das französische Scan-Unternehmen Onyphe erklärte, offenbar laufe nur eine kleine Minderheit davon mit der neuesten Software.

Carrefour zählte 80 betroffene Supermärkte, bei Monoprix waren es rund fünf Prozent der etwa 490 französischen Filialen. Auch Coopérative U war betroffen. Deren Geschäftsführer Dominique Schelcher sagte jedoch, die Kühlkette sei in den meisten betroffenen Märkten intakt geblieben, weil Mitarbeitende und Techniker schnell reagiert hätten. E.Leclerc erklärte, einer seiner Kältetechnik-Lieferanten sei angegriffen worden. Die Pariser Staatsanwaltschaft meldete Lebensmittelverluste und Geräte, die Feuer zu fangen begannen. Thierry Cotillard, Chef der Intermarché-Muttergesellschaft Les Mousquetaires, sagte dem Sender BFMTV, der Schaden werde sich „landesweit an einem einzigen Tag auf mehrere zehn Millionen Euro“ belaufen.

Danfoss zufolge hatten viele der betroffenen Geräte „das Ende ihrer Lebensdauer erreicht und erhalten keine Software- oder Sicherheitsupdates mehr“, während andere „mit veralteter Firmware liefen“. Das Unternehmen nannte zwei ältere Modelle, AK-SM 800 und AK-SC 355, die bereits vor Jahren ausgemustert wurden. Auch einige aktuelle AK-SM-800A-Regler mit veralteter Firmware waren betroffen. Frankreichs nationale Cybersicherheitsbehörde ANSSI nannte außerdem Software von Copeland und dessen Marke Dixell als Teil der betroffenen Systeme. Copeland bestätigte die „Schwachstelle“ und erklärte: „Wir arbeiten derzeit mit betroffenen Kunden daran, das Risiko einzudämmen.“

Supermarktkühlanlagen sind aus einem ganz alltäglichen Grund mit dem Internet verbunden: Techniker können Temperaturen anpassen, Alarme zurücksetzen und Abtauzyklen ändern, ohne dafür zum Geschäft fahren zu müssen. CERT-FR, das Notfallteam der Regierung, hat alle Betreiber von Danfoss-AK-SM- und AK-SC-Reglern aufgefordert, die Geräte vom Netz zu trennen oder den Zugriff streng zu beschränken. Laut AFP bezeichnete Vincent Strubel, Direktor der ANSSI, diesen Schritt als dringend.

Was bislang niemand sagen kann: Wie die Angreifer eingedrungen sind – und warum. Keine Gruppe hat sich zu dem Angriff bekannt, und es wurde kein Lösegeld gefordert. Das gibt den Ermittlern Rätsel auf, wie eine von Reuters zitierte Quelle sagte. CERT-FR hat weder eine Schwachstelle noch eine Firmware-Version oder konkrete Anzeichen für einen Angriff genannt, auf die Betreiber achten könnten. Auch die von der Sicherheitsfirma Claroty dokumentierten Schwachstellen des AK-SM 800A wurden nicht mit dem Angriff in Verbindung gebracht. Für Besitzer der ältesten Modelle gibt es überhaupt kein Update, das sie installieren könnten. Die tatsächliche Lösung besteht daher darin, neue Hardware anzuschaffen – über dieselben Techniker, die auch die alten Steuergeräte installiert haben. „Hier geht es um grundlegende Cyberhygiene“, sagte Ken Munro von Pen Test Partners. „Macht man es falsch, hat man ein übel riechendes Durcheinander aus aufgetauten Lebensmitteln.“ Die Angreifer hätten eine offene Tür vorgefunden, fügte er hinzu; bei den Tätern könne es sich leicht um „Kinder handeln, die herumspielen“.

Frankreich ist möglicherweise nicht allein betroffen. Félix Aimé, Threat-Intelligence-Analyst bei Sekoia, sagte Reuters, auch Spanien, Portugal, Polen, Deutschland und Belgien seien betroffen gewesen, ohne weitere Einzelheiten zu nennen. Die ANSSI steht mit Behörden in anderen Teilen Europas in Kontakt. Ein separater Vorfall legte zeitgleich die Online-Lebensmitteldienste des niederländischen Einzelhändlers Ahold Delhaize lahm. Das niederländische Cybersicherheitszentrum NCSC sieht jedoch keinen Zusammenhang. Vergleichbare Fälle gab es bereits: Ende August wurden die Kühlschränke in etwa einem Dutzend US-amerikanischer Militärsupermärkte auf ähnliche Weise gestört. Im Kundennewsletter von Danfoss ist außerdem von Angriffen auf 16 russische Supermärkte und 40 Geschäfte in Israel im Jahr 2022 die Rede.

Der Angriff begann in der Nacht zum Sonntag, dem 11. Oktober; CERT-FR veröffentlichte seine Warnung am folgenden Tag. Danfoss erklärte den AK-SM 800 im Mai 2021 für veraltet und stellte den AK-SC 355 2016 ein. Claroty veröffentlichte seine Untersuchung zum neueren Modell am 9. August. Die Abteilung für Cyberkriminalität der Pariser Staatsanwaltschaft hat eine Untersuchung eingeleitet, die vom Amt für die Bekämpfung der Cyberkriminalität OFAC geführt wird. Dabei sollen die Betroffenen ermittelt und die einzelnen Schäden dem Angriff zugeordnet werden. Der französische Handelsverband FCD hat Danfoss zu „vollständiger Transparenz“ aufgefordert. Bis die Ermittler herausfinden, wie der Angriff möglich war, ist die günstigste Maßnahme auf der Liste von CERT-FR ohne Update umsetzbar: den Regler vom Internet trennen.

Schlagwörter: Pelé, Cher, IoT-Sicherheit, Cyberangriff, ANSSI, Carrefour

Hacker heizen Kühlregale auf 50 Grad auf, 4.500 Danfoss-Steuerungen bleiben im Netz

Ähnliche Beiträge

Dänemark könnte neue Rechenzentren einfrieren, weil das Stromnetz die KI-Nachfrage nicht trägt

Mutmaßlicher KI-Angriff trifft Shinhan und sechs Kreditinstitute, 68.000 Kunden betroffen

Jim Cramer nennt Diesel eine 25-Prozent-Zusatzsteuer auf alles, was ein Lkw liefert – und Walmart zahlt sie bereits

Ein Login-Fehler ließ 70 Millionen cPanel-Webseiten für jedermann offen stehen

Ihr Handy oder Router war womöglich eines von 17 Millionen heimlich vermieteten Geräten

Ledger findet versteckten Chip in einer Krypto-Wallet von einem Händler aus Malaysia

Diskussion