Høy cybertemperatur i europeiske kjøledisker

I midten av oktober ble kjøledisker i flere hundre supermarkeder over hele Frankrike utsatt for målrettet sabotasje. Angriperne hadde tatt over styringssystemene for temperaturregulering, og satt temperaturen til over 50 plussgrader. Matvarer i mange hundre dagligvarebutikker ble naturligvis ødelagt.

Mandag inntraff det samme igjen. Butikker over hele Europa ble rammet. I Sverige ble minst ti Coop og ICA butikker utsatt for sabotasje. Også i Norge ble minst to selskap «angrepet»; Havaristen i Akershus og et fruktlager i Ullensvang.

Enkle angrep

Selv om angrepene har ødelagt betydelig med matvarer i Europa, fremstår de ikke som spesielt avanserte. De fleste kjøleanleggene ser ut til å ha et grensesnitt som er eksponert mot internett, med standard-passord for innlogging. Altså passordet de ble levert med, som ofte står nedskrevet i veiledningsmanualen.

Å bytte slike passord er en grunnregel i alt sikkerhetsarbeid. Spesielt dersom anlegges kobles til internett.

Produsenten Danfoss har bekreftet at flere av de saboterte kjøleanleggene kjørte utgått programvare, som ikke lengre mottar sikkerhetsoppdateringer og derfor var sårbare. Det er nok et brudd på en grunnregel i godt sikkerhetsarbeid.

Russiske cyberaktører?

Selv om det er teknisk mulig å gjennomføre angrep mot kjøledisker over hele Europa, gjennomføres det ikke uten at det finnes en agenda bak. Penger ser ikke ut til å ha vært motivasjonen. Da ville angriperen mest sannsynlig brukt en skadevare som låste systemene og deretter presset ofrene for penger.

På grunn av den geopolitiske situasjonen, er det mer nærliggende å undersøke om russiske aktører står bak. Samtidig bør man på ingen måte utelukke at andre har utført angrepene.

De to pro-russiske hacktivist grupperingene, NoName057(16) og Z-Pentest, publiserte onsdag en video på Telegram der de påtok seg ansvaret for angrepene. Likevel er det et altfor tynt grunnlag for å konkludere med at de sto bak. Hacktivister er opportunister som søker oppmerksomhet og kan påta seg ansvaret for angrep som andre har utført.

Operasjonen mot europeiske frysedisker fremstår som godt koordinert, selv om den er teknisk enkelt utført. Det betyr at både statstilknyttede aktører og hacktivister kan stå bak. Eventuelt en kombinasjon.

Historie med OT-angrep

Hacktivist-grupperingen Cyber Army of Russia Reborn (CARR), har tidligere påtatt seg ansvaret for operasjoner som skal ha blitt utført av den russiske militære etterretningstjenesten GRUs cyberenhet. Derfor kan flere cyberaktører være involvert i operasjonen, dersom det viser seg at Russland står bak.

Når det gjelder pro-russiske hacktivister, har grupper som Z-Pentest historikk med å utføre angrep mot operasjonell teknologi (OT). Tilsvarende modus ble benyttet for å åpne slusene ved demningsanlegget i Bremanger, hvor operatørpanelet var eksponert på internett med et svakt passord.

For et år siden ble personer fra CARR siktet av det amerikanske justisdepartementet for et liknende angrep mot et anlegg for kjøttprosessering i Los Angeles. Angrepet ødela flere tusen kilo kjøtt.

For tidlig å konkludere

Selv om pro-russiske hacktivister har utført tilsvarende angrep mot OT-systemer tidligere, og intensjonen bak angrepene kan samsvare godt med Russlands pågående hybridkrig mot Europa, er det likevel for tidlig å konkludere med hvem faktisk som står bak.

Det må det en grundig etterforskning til for å fastslå.

Mens vi venter på svar fra politietterforskningene, bør vi bruke tiden på å sikre alle enheter med svake standardpassord som er tilgjengelig for angripere på internett.

Hvis ikke, kan hvem som helst angripe oss.