In neun europäischen Ländern wurden am Montag Berichten zufolge Kühlsysteme in Supermärkten gestört, nachdem ein Angriff im Oktober etwa 700 der 10.000 Supermärkte Frankreichs betroffen hatte. Die französische nationale Cybersicherheitsbehörde CERT-FR bringt die Kompromittierungen mit Fernsteuerungsmodulen von Danfoss und Copeland in Verbindung, zwei etablierten Anbietern von Steuerungen und Komponenten für gewerbliche Kühlsysteme. Keine Gruppe hat die Verantwortung übernommen. Die Vorfälle zeigen, wie die Kühlung in Supermärkten, die weitgehend über internetverbundene Steuerungen verwaltet wird, aus der Ferne und im großen Stil gestört werden kann.

Geschäfte in Belgien, Estland, Finnland, Irland, Italien, Luxemburg, den Niederlanden, Portugal und Schweden meldeten Probleme. In Estland wurden einige Kühlgeräte Berichten zufolge auf 50 °C (122 °F) aufgeheizt. Die italienische Regierung hatte für Dienstag ein Treffen zur Cybersicherheit angesetzt, während CERT-FR warnte, dass die Kampagnen wahrscheinlich noch andauern.

Die erste gemeldete Welle ereignete sich in Frankreich. Finanzminister Roland Lescure teilte dem Parlament am 13. Oktober mit, dass etwa 700 Supermärkte betroffen gewesen seien. Laut CERT-FR zwangen Hacker die Systeme in dauerhafte Abtauzyklen, wodurch Lebensmittel verdorben und in einigen Geschäften Brände ausgelöst wurden. Die Behörde erklärte, sie sei über zahlreiche Kompromittierungen von Fernsteuerungsmodulen von Danfoss und Copeland informiert.

Groupement Mousquetaires, dem die Ketten Intermarché und Netto gehören, meldete 300 betroffene Filialen. Cooperative U erklärte, 80 seiner 2.000 Geschäfte seien getroffen worden. Lescure sagte, die Lebensmittelversorgung sei nicht gefährdet, räumte jedoch ein, dass der Angriff "das Herz unserer Lebensmittelsicherheit" treffe. Einige Kühltheken von Mousquetaires waren am Dienstag noch außer Betrieb.

Die Vorfälle am Montag betrafen mehrere Supermarktketten in Belgien. Carrefour meldete Störungen in etwa 15 seiner 700 Filialen. Der belgische Kühlfachbetrieb Sabcobel erklärte, Verdampfer seien in den Abtaumodus versetzt worden – normalerweise ein periodischer Zyklus zur Beseitigung von Eisbildung, der Lebensmittelabteile jedoch erwärmt, wenn er dauerhaft läuft –, und die Bundesstaatsanwaltschaft leitete eine Untersuchung ein. Vier Delhaize-Filialen in Luxemburg meldeten ebenfalls Probleme.

In Italien sagte die Radenza Group, die in Sizilien Geschäfte unter der Marke Coop betreibt, der Angriff habe um 4 Uhr morgens Ortszeit begonnen und gezielt das Fernsteuerungssystem der Tiefkühlabteilungen angegriffen. Irlands Musgrave meldete 13 betroffene SuperValu-Filialen, während Mosqueteiros Vorfälle in sieben Intermarché-Geschäften in Portugal bestätigte.

Bei 50 °C (122 °F) liegt ein Tiefkühlschrank weit über einer sicheren Betriebstemperatur. Lebensmittel, die zu lange unter diesen Bedingungen aufbewahrt werden, können schnell verderben und ein Bakterienwachstum ermöglichen.

In Schweden erklärte Coop, sechs seiner rund 800 Geschäfte seien betroffen. Das Unternehmen sagte, die Geschäfte nutzten 4G-Verbindungen und seien dadurch "stärker exponiert". Ica teilte mit, eine begrenzte Zahl seiner Geschäfte habe Probleme gehabt und die betroffenen Standorte hätten ein externes Danfoss-Steuerungssystem verwendet. Keine der beiden schwedischen Ketten hat bestätigt, dass die Vorfälle durch einen Cyberangriff verursacht wurden. Der finnische Händler Kesko sagte, Netzstörungen seien nicht ausgeschlossen.

EU-Agrarkommissar Christophe Hansen bezeichnete die Vorfälle als "gezielten Versuch", die Lebensmittelversorgungskette zu stören. Die Ermittler haben nicht bestätigt, ob die Vorfälle vom Montag mit dem früheren Angriff in Frankreich zusammenhängen.

Das estnische Kühlungsunternehmen Kitman Coldtech erklärte, die betroffenen Geräte seien ältere Danfoss-Modelle gewesen, ähnlich denen, die in Frankreich angegriffen wurden. CERT-FR warnte, dass ein Gerät, das das Ende seines Lebenszyklus erreicht hat, ohne Sicherheitspatches mit dem Internet verbunden bleibt, ein sehr hohes Kompromittierungsrisiko birgt.

Forscher von Claroty meldeten im August Schwachstellen in Danfoss AK-SM 800A Steuergeräten, darunter eine Authentifizierungsumgehung. Die AK-SM 800A-Reihe wird zur Überwachung und Verwaltung von Kühlsystemen in Supermärkten eingesetzt, und Claroty fand 2.765 dieser Geräte online exponiert. Danfoss behob die Schwachstellen in Firmware R4.3.1, obwohl unklar bleibt, welche Schwächen die Angreifer ausnutzten.

CERT-FR empfiehlt Betreibern, die Steuergeräte aus dem öffentlichen Internet zu entfernen. Der Geschäftsführer von Sabcobel sagte, viele ältere Geräte erfordern physische Umbauten, die Investitionen mit sich bringen. Bis diese umgesetzt sind, gibt es für die ältesten Systeme möglicherweise keine praktische technische Lösung. CERT-FR sagte, die Kampagne sei wahrscheinlich noch aktiv, während Italien sein Treffen zur Cybersicherheit am Dienstag vorbereitete.

Quelle: Decrypt.