Betrifft Sie das?
- Direkt betroffen: Geschäfte und Lebensmittelbetriebe, deren Kühlsteuerungen aus dem Internet erreichbar sind. In Frankreich meldete die Cyberbehörde kompromittierte Fernsteuerungsmodule von Danfoss und Copeland.
- Aus unserer Sicht reicht die Lehre weiter: Sie betrifft jedes Unternehmen mit einem Dienst, der offen im Internet steht und nur durch ein Login geschützt ist – ein Admin-Bereich einer Website, ein NAS, Remotedesktop, Kameras oder ein Gerät, das ein Dienstleister verwaltet.
- Nicht betroffen, wenn: keines Ihrer Systeme – auch keine Geräte von Dienstleistern – aus dem Internet erreichbar ist, außer über ein VPN oder von festen IP-Adressen.
Was tun?
- Erfassen Sie, was aus dem Internet erreichbar ist: Portweiterleitungen auf Firewall oder Router und jedes Gerät, mit dem sich ein Dienstleister aus der Ferne verbindet.
- Was nur ein Passwort schützt, verlegen Sie hinter ein VPN oder lassen Sie nur bestimmte IP-Adressen zu. Für die Kühlsteuerungen empfahl die französische Behörde CERT-FR, sie vom Internet zu trennen oder den Zugriff streng zu filtern.
- Speziell bei Kühlanlagen: Fragen Sie den Installateur, welche Steuerung Sie haben. Danfoss AK-SM 800 und AK-SC 355 erhalten keine Sicherheitsupdates; Danfoss rät, sie abzulösen. Bei der AK-SM 800A lassen Sie sich bestätigen, dass der Patch aus dem vergangenen Jahr eingespielt ist.
- Anzeichen dieses Angriffs waren Geräte im Abtaumodus oder Temperaturen, die das Personal nicht zurückstellen konnte; die Installateure trennten die Geräte dann vom Netz. Ein estnischer Servicebetrieb sagte, eine Reaktion innerhalb von 10 Minuten habe den Schaden begrenzt.
Was wir wissen – und was nicht
- Zu den getroffenen Ketten zählen Delhaize, Carrefour und Spar in Belgien sowie ICA und Coop in Schweden; in Irland nahm Musgrave Kühl- und Tiefkühlware aus 13 SuperValu-Filialen.
- Claroty hat im vergangenen Jahr gezeigt, dass die Danfoss-Modelle am Ende ihres Lebenszyklus ein erreichbares Login mit dem Benutzernamen „admin“ und einem aus dem Gerätedatum abgeleiteten Tagescode bieten. Nach dem Angriff in Frankreich zählte Reuters mindestens 4.500 Danfoss-Schnittstellen online.
- In Estland drangen die Angreifer laut dem Servicebetrieb Kitman Coldtech in eine ältere Danfoss-Steuerung ein. Ob die belgischen und schwedischen Märkte dieselben Geräte nutzen, ist nicht bestätigt; Sabcobel sagt, die Methode sei genau dieselbe wie in Frankreich.
- Niemand hat sich zu den Angriffen bekannt, und eine Lösegeldforderung ist nicht bekannt geworden.
- ICA sagt, die Verbindungen der betroffenen Filialen verlaufen außerhalb seines zentralen Netzes.
Warum das wichtig ist
Eine Anmeldeseite, die aus dem Internet erreichbar ist, findet jeder, der danach sucht; ohne zweiten Faktor steht dann nur noch das Passwort im Weg. Bei den alten Danfoss-Modellen ist es ein aus dem Datum abgeleiteter Code. Tiefkühler sind der Extremfall; die Prüfung gilt für jede Administrationsseite, die Sie betreiben.