Fransa market dondurucu sabotajında İran'ı suçluyor: 700 nokta, yangınlar ve adli soruşturma
Fransa, ekim ayında yaklaşık 700 perakende noktasındaki soğutma sistemlerine yönelik sabotajı resmen bir İran siber birimine atfetti ve savcıların yabancı bir güç adına sabotaj olarak tanımladığı olayla ilgili adli soruşturma başlattı. Haftalarca süren bir endüstriyel olay, böylece yakalama emirleri ve diplomatik bir yüzleşmeyle birlikte isimlendirilmiş bir devlet suçlamasına dönüştü.
Avrupa ve Dışişleri Bakanlığı, İran İslam Devrim Muhafızları'nın elektronik ve siber merkezine bağlı bir siber saldırı birimi olarak tanımlanan "Shahid Kaveh"i gösterdi. Değerlendirme, ANSSI, askeri siber komutanlık ve istihbarat servislerini bünyesinde barındıran Fransa'nın siber kriz koordinasyon merkezi C4 üzerinden geldi. BleepingComputer'a göre CERT‑FR, birimi CyberAveng3rs, Soldiers of Solomon ve Cyber Isnaad Front gibi hacktivist kimliklerle de ilişkilendiriyor."Fransa, İran İslam Cumhuriyeti'nin kendi topraklarında çıkarlarına karşı gerçekleştirdiği kabul edilemez siber saldırıları en güçlü ifadelerle kınıyor."
11-12 Ekim gecesi ne oldu
Saldırganlar soğutma kontrol cihazlarının internete açık yönetim arayüzlerine ulaştı ve buz çözme ayarlarını, döngüler zaman sınırı olmadan çalışacak şekilde değiştirerek dolap sıcaklıklarını yükseltti. BleepingComputer, Danfoss soğutma kontrol cihazlarının ele geçirildiğini ve buz çözme parametrelerinin yüksek sıcaklıklara çıkarıldığını bildiriyor. Fransız güvenlik yayını ZATAZ, etkilenen donanımın Danfoss AK‑SM ve AK‑SC birimleri ile Dixell/Copeland XWEB kontrol cihazlarını kapsadığını, bazılarının desteği sona ermiş ya da eski ürün yazılımıyla çalıştığını ve termal sensör uyarılarının da devre dışı bırakıldığını ekliyor. Fiziksel sonuçlar hemen ortaya çıktı. BleepingComputer hasarı en az 15 yangın olarak veriyor; buna on milyonlarca euroluk gıda kaybı ve ciddi maddi hasar eşlik ediyor. ZATAZ ana metninde "une vingtaine de departs de feu" — yaklaşık yirmi yangın — bildirirken aynı makalenin ilerleyen bir bölümü en az 15 diyor. İki rakam kamuoyu önünde uzlaştırılmadı. Mağdur listesi geniş ve çoğunlukla sıradan. CERT‑FR Casino, Leclerc, Coopérative U, Metro, Carrefour ve Intermarché'nin yanı sıra daha küçük kasapları, bir mezbahayı ve kooperatif gıda işleme tesislerini sayıyor. Araştırmacılar aynı dönemde küçük hidroelektrik tesislerindeki Schneider Electric endüstriyel ekipmanına yönelik saldırılar da buldu; etkileri sınırlıydı.Adli soruşturma ve yakalama emirleri
ZATAZ'a göre 9 Kasım'da Paris savcılığı ekim saldırıları hakkında resmi bir adli soruşturma açtı. Soruşturmayı ulusal siber suç bürosu OFAC ve iç istihbarat servisi DGSI yürütüyor. Laure Beccuau'nun savcılığı örgütlü grup halinde bilişim sistemlerine hukuka aykırı erişim, insanları tehlikeye atabilecek zarar ve yabancı bir güç adına işlenen fiilleri inceliyor. ZATAZ, üç kişi hakkında uluslararası yakalama emri talep edildiğini bildiriyor: Shahid Kaveh grubunun sorumlusu ve iki yardımcısı. Bu bir talep, mahkumiyet değil. Atıf da tek bir kanıta değil birbirini doğrulayan göstergelere dayanıyor — grubun çalışma biçimi, saldırgan altyapısındaki Farsça dil izleri ve İran'daki terminallerden gelen bağlantılar.Soğutma neden fiziksel etkili bir hedef
Soğuk zincir ekipmanı, ödeme sistemine dokunmadan görünür fiziksel sonuç isteyen herkes için çekici bir hedeftir. Bir soğutma kontrol cihazı, web arayüzlü küçük bir gömülü bilgisayardır; çoğu zaman yıllar önce bir yüklenici tarafından kurulmuş, nadiren yamalanmış ve uzaktan bakım kolaylığı için sıklıkla genel internetten erişilebilir durumdadır. Kimse onun bir güvenlik sınırı olmasını beklemez, bu yüzden genellikle değildir. Ekim kampanyasında fidye talebi ya da bildirilen veri hırsızlığı yoktu. Etki tamamen operasyoneldi: bozulan stok, aşırı ısınan ekipmanın başlattığı yangınlar ve kapatmaya ya da envanteri elden çıkarmaya zorlanan mağazalar. Bu profil — erişim katmanında düşük sofistikasyon, fiziksel katmanda yüksek sonuç — açıkta kalan OT ekipmanını izlemeye değer kılıyor. RedHotCyber'ın Sekoia araştırmasına dayanarak yayımladığı teknik analiz, 11 Ekim'de dünya genelinde 2.700'den fazla açık Danfoss sistemi buldu; bunların yaklaşık 1.700'ü Fransa'daydı. 12 Ekim saat 16:00 itibarıyla Fransız cihazlarının yaklaşık yarısı artık kamuya açık şekilde erişilebilir değildi.Fransa'nın atfetmediği ikinci dalga
Kasım'da ikinci bir kampanya izledi. BleepingComputer, altı Avrupa ülkesinde 115'ten fazla mağazanın vurulduğunu, bunlar arasında sıcaklık ve buz çözme ayarlarının değiştirildiği üç kan ürünü depolama tesisinin bulunduğunu bildiriyor. RedHotCyber, 1-2 Kasım gecesi Belçika, Hollanda, Almanya ve İsveç dahil yaklaşık bir düzine Avrupa ülkesinde olaylar yaşandığını, Fransız kan hizmeti tesislerinde personel müdahale etmeden önce sıcaklıkların 110 santigrat dereceye kadar ayarlandığını aktarıyor. Fransa yalnızca ekim ayındaki market saldırılarını İran'a atfetti; kasım dalgasının kaynağı kamuoyu önünde bilinmiyor. Ayrı olarak FBI ve CISA, endüstriyel soğutma ve soğuk zincir izleme sistemlerine yönelik süregelen saldırılar konusunda uyardı. Diplomatik olarak Fransa, İran'ın büyükelçisini çağıracağını ve kötü niyetli siber operasyonlara karışan İranlı kişi ve kuruluşlara yönelik yeni AB yaptırımları için bastıracağını açıkladı.Operatörler neyi kontrol etmeli
Savunma dersleri çoğunlukla maruziyetle ilgili. RedHotCyber'ın özetlediği Sekoia'nın honeypot çalışması, kontrol cihazlarının web eylemlerine kimlik doğrulaması olmayan istekler ve supervisor ile admin hesaplarına 12345 parolasıyla parola püskürtme kaydetti — bina ve soğutma ekipmanındaki varsayılan kimlik bilgilerinin hâlâ güncel bir sorun olduğunu, tarihsel olmadığını hatırlatıyor.- Her soğutma ve HVAC kontrol cihazını envanterleyin ve hangilerinin genel bir IP adresinde yanıt verdiğini belirleyin.
- Doğrudan internet maruziyetini kaldırın; uzaktan bakımı günlükleme yapan bir VPN veya atlama sunucusunun arkasına alın.
- Varsayılan ve paylaşılan kimlik bilgilerini değiştirin, kimsenin sahip olmadığı tam yönetici haklarına sahip hesapları kontrol edin.
- Desteği sona ermiş ürün yazılımını yamalayın veya değiştirin; üretici artık güncelleme vermiyorsa değişimi planlayın.
- OT ve bina yönetimi ağlarını kurumsal BT'den ayırın.
- Yalnızca ağ anomalilerinde değil, buz çözme döngüleri, set değerleri ve sensör eşiklerindeki yapılandırma değişikliklerinde de uyarı verin.