Avrupa’daki Marketlere Yönelik Yeni Dalga Siber Saldırı: Mağazalar Ürünleri Rafdan Çekmeye Zorlandı.

Gorsel Kaynagi: The Hacker News

Saldırganlar, Pazartesi 2 Kasım’a bağlayan gecede Belçika, İsveç, Estonya ve diğer Avrupa ülkelerindeki marketlerin soğutma kontrol sistemlerinin ayarlarını uzaktan değiştirerek buzdolaplarını ve dondurucuları ısıttı.

Hiçbir zincir market, birkaç düzineden fazla etkilenen mağazanın raporladığını belirtmedi; bazıları soğuk ve donmuş gıdaları çöpe atmak veya rafdan kaldırmak zorunda kaldı. Danfoss, soğutma kontrol sistemleri üreten Danimarkalı bir firma, ürünlerinin bu saldırılarda yer aldığını söyledi; tıpkı üç hafta önce Fransız marketlerine yönelik saldırılarda olduğu gibi.

Pazartesi akşamına kadar saldırıları üstlenen olmadı ve bunların Fransa’daki saldırıyla bağlantılı olup olmadığı bilinmiyordu.

Soğutma kontrol sistemleri, bir mağazanın buzdolaplarını ve dondurucularını yöneten bilgisayardır. İnternet’e bağlanabilirler, böylece soğutma yüklenicileri bunları uzaktan izleyebilir ve arızaları giderebilir.

Belçika’da, soğutma yüklenicisi Sabcobel’in yönetici ortağı Stephan Moelans, Belçika medyasına saldırıların soğutma ünitelerini dondurma moduna aldığını söyledi. Dondurma modu, buz temizlemek için tasarlanmıştır ancak bu saldırılarda ünitelerin gıdayı soğuk tutmak yerine ısınmasına yol açtı. Sabcobel, Delhaize market zincirinin soğutma sistemlerini yönetmektedir.

Diger durumlarda sıcaklık ayarı yükseltildi. Güney İsveç’te Sjöbo’daki bir ICA mağazası, buzdolaplarının ve dondurucularının 50°C’ye ayarlandığını ve personelin etkilenen malları çöpe attığını söyledi.

Estonya’daki bir Selver mağazasında, soğutma tedarikçisi Kitman Coldtech’in yönetici ortağı Jann Mutso, bir dondurucunun 50°C’ye ayarlandığını söyledi. Sıcaklığı yalnızca yaklaşık 2-3°C yükseldi ve sorun yaklaşık 10 dakika içinde çözüldü, hasar gören ürün olmadı.

Danfoss’un güvenlik uyarıları sayfasında, The Hacker News 3 Kasım’da kontrol ettiğinde saldırılarla ilgili bir uyarı listelenmiyordu. Operatörler için en ayrıntılı adımlar, Fransa’nın ulusal siber güvenlik ajansının bir parçası olan CERT-FR’ın Ekim ayındaki uyarısındadır.

Hangi Şirketler Etkilendiklerini Belirtiyor

Her şirket olayı kendi sözleriyle tarif etti ve hepsi bunu bir siber saldırı olarak adlandırmadı.

Hove’daki (Antwerp’in güneyinde) bir De Laet & Van Haver kasabında soğutucular 18 °C’ye kadar yükseltildi; işletme sahibi Luc De Laet, Reuters’a bunu söyledi. Yaklaşık 15.000 euro değerinde etin çürütüldüğünü tahmin etti.

13 SuperValu mağazasında Musgrave, önlem olarak soğuk ve donmuş ürünleri rafdan çekti. Şirket, Pazartesi öğleden sonra sorunun çözüldüğünü ve yeniden stoklamanın sürdüğünü belirtti.

Ekipman ve Giriş Yolu Hakkında Şirketler Ne Diyor

Vurulan sistemlerden bazıları Danfoss tarafından üretildi. ICA’nın sözcüsü AFP’ye, ICA’nın etkilenen tüm mağazalarının Danfoss’un sağladığı dış bir soğutma kontrol sistemine bağlandığını söyledi. Estonya’da saldırganlar eski bir Danfoss sisteminin kontrol bilgisayарına erişti; Mutso söyledi.

Danfoss her durumda geçmiyor. Musgrave’ın açıklaması etkilenen modelin üreticisini adlandırmadı.

Mağdur bir Belçikli kasap, Hollanda yayıncısı NOS’a Belçika’da ikinci üretici Copeland’e ait ekipmanların da hedef alındığını söyledi. Copeland, NOS’un saldırılarla ilgili sorularına net bir yanıt vermedi.

Hollanda’da saldırıya uğrayan sistemler güvenli bir ağda değildi ve hâlâ varsayılan şifreleri kullanıyordu; Danfoss’un bir sözcüsü NOS’a bunu belirtti. Oradaki mağazaların çoğu Fransa’daki saldırının ardından önlem almıştı, ancak birkaçı almamış ve hedeflenenler de bunlar olmuştu.

Danfoss, Belçikli yayıncı VTM’ye zayıflığın büyük ölçüde güncellenmemiş yazılımda olduğunu ve güncelleme yapmayan müşterilerin etkilendiğini söyledi; Euronews bunu aktardı.

Sabcobel, Belçika’da yönettiği yüzlerce ünitenin yaklaşık 20’sinin etkilendiğini biliyor. Belçikalı vakalarda saldırganların soğutma yüklenicilerinin değil, bireysel mağazaların sistemlerine girdiğini belirten Moelans, Sabcobel’in mağazalara internet bağlantılarını güvende kılmayı önerdiğini ve bunların çoğunun ama hepsinin yapmadığını söyledi.

Mutso, güncellenmemiş eski kontrolörlerin hedef alındığını söyledi. Selver, saldırıya uğrayan mağazanın henüz yeni sisteme geçirilmemiş son mağaza olduğunu belirtti. ICA, NBC News’e kendi sistemlerinin etkilenmediğini ve etkilen mağazaların dış bir tedarikçi kullandığını ve ICA’nın merkez ağı dışında bir ağa bağlı olduğunu söyledi.

Belçika Siber Güvenlik Merkezi, Pazartesi günü muhabirlere daha fazla bilgi veremediklerini söyledi. İsveç Ulusal Siber Güvenlik Merkezi, bildirisinde saldırganların nasıl girdiğini belirtmedi.

İşletmeciler Ne Yapabilir

CERT-FR uyarısı, Danfoss AK-SM ve AK-SC serisi kontrolörlerin yanı sıra Copeland xweb ve Dixell xweb’i kapsıyor. Bu cihazlara yönelik saldırı kampanyalarının muhtemelen hâlâ sürdüğünü belirtiyor. The Hacker News, 3 Kasım’da yaptığı kontrolda uyarının son olarak 16 Ekim’de güncellendiğini gördü.

Ele geçirilmemiş cihazlar için alınacak adımlar şunlardır:

1. Cihazların internet üzerinden erişilebilir olmamasını sağlayın; bu, halka açık IP adresine sahip herhangi bir cihazı da kapsar. Soğutma yüklenicinize veri beslemesini kesmeden önce sigorta sözleşmenizi kontrol edin.
2. Tüm yapılandırmayı, özellikle dezoje zamanlamalarını gözden geçirin.
3. Erişimi yalnızca güvenli bir VPN veya korumalı bir ağ üzerinden geri getirin. Acil durumlarda, bir güvenlik duvarında yüklenicilerin IP adreslerini filtreleyebilirsiniz, ancak bu kalıcı bir çözüm olmamalıdır.
4. Yazılım güncellemesi gibi üreticinin iyi uygulamalarını izleyin. Danfoss cihazlarında güvenlik seviyesini “Strict” (Katı) olarak ayarlayın ve varsayılan parolaların değiştirildiğinden emin olun.

Ele geçirilen bir cihaz için izlenecek iki adım daha vardır: Danfoss cihazını yeniden başlatın veya fabrika ayarlarına sıfırlayın, ardından hizmeti geri vermeden önce yeniden yapılandırın.

Yaşı dolmuş ve artık güvenlik güncellemesi almayan cihazların, internette kaldıkları sürece ele geçirilme olasılığı çok yüksektir; CERT-FR uyarır. Yalnızca fabrika sıfırlaması, cihazları tekrar saldırıya açık bırakır. Ekim ayında Danfoss, Fransa’da hedef alınan birimlerin çoğunun artık güncellemediği daha eski modeller olan AK-SM 800 ve AK-SC 355 olduğunu belirtti.

Danfoss, Hollanda’daki müşterilerine 13 Ekim’de sistemlerini internetten ayırmalarını ve yalnızca güvenli bir ağ üzerinden yeniden bağlanmalarını tavsiye etti. Aynı zamanda müşterilerle düzeltmeleri yerleştirmek için de çalışıyordu.

İsveç Ulusal Siber Güvenlik Merkezi, kuruluşları internete bağlı olan cihazları listelemeye, her birinin bağlanmasının gerekip gerekmediğine karar vermeye ve kalanların güncel ve çoklu güvenlik katmanlarıyla korunduğundan emin olmaya davet etti.

Moelans, yalnızca bir yazılım güncellemesinin yeterli olmadığını, çünkü tesislerin para maliyeti taşıyan fiziksel değişiklikler gerektirdiğini söyledi. En basit çözüm, soğutucuları yönetmek için güvenli bir internet bağlantısıdır; Sabcobel müşterilerinin çoğu Fransız saldırısından sonra bunu benimsedi.

Arka Plandaki Grup Kimdir

Danfoss, Hollanda’daki saldırıların Fransa’dakilerle aynı türde olduğunu; Sabcobel, Belçika’da aynı yöntemin kullanıldığını; Kitman ise Estonya’daki yöntemin benzer olduğunu belirtti. Ortak bir yöntemin, her iki saldırının da aynı kişiler tarafından gerçekleştirildiğini göstermediğini vurguladı.

Belçika Siber Güvenlik Merkezi, Pazartesi günü saldırıların arkasında kimin olduğunun bilinmediğini ve bunun “belki de asla belirlenemeyeceğini” açıkladı.

Belçika federal savcılığı, VRT’ye yaptığı başvuruda bir suç soruşturması başlattığını onayladı. İsveç Ulusal Siber Güvenlik Merkezi, Pazartesi günü olayları yakından takip ettiklerini ve diğer Nordik ve Avrupa ülkelerindeki kurumlarla bilgi paylaştıklarını belirtti.