Rashladni sistemi u supermarketima širom devet evropskih zemalja, kao i nekoliko banaka krvi u Francuskoj, napadnuti su 2. i 3. novembra, piše Euronews.

Hakeri su iskoristili slabu sajber-bezbjednost i ranjivosti u upravljaču rashladnim sistemom AK-SM proizvođača Danfoss kako bi frižidere i zamrzivače postavili na podešavanja za odmrzavanje, a u nekim slučajevima temperature su bile podešene i na 50 stepeni Celzijusa.

Incidenti su primorali mnoge prodavnice prehrambenih proizvoda da bace pokvarene proizvode iz svojih frižidera i zamrzivača i postali su veoma vidljiv primjer koliko lako sajber-napadi mogu da poremete svakodnevni život ciljajući infrastrukturne sisteme koji se često uzimaju zdravo za gotovo.

Za firmu za sajber-bezbjednost Lupovis, znakovi ukazuju na koordinisanu operaciju u kojoj je potencijalno učestvovao državni akter – operaciju kojoj su prethodili dani istraživanja.

Kompanija kaže da je zabilježila period izviđanja usmjerenog na ove sisteme samo nekoliko dana prije napada.

Kompanija je tokom ovog perioda od 10 dana zabilježila više od 276 pokušaja od strane 91 različitog aktera prijetnji koji su se podudarali sa specifičnim komponentama Danfoss kontrolera. Aktivnost je dostigla vrhunac 26. oktobra, prije nego što je zaustavljena krajem mjeseca.

„Između 20. i 30. oktobra, ono što smo vidjeli bio je talas onoga što nazivamo izviđanjem“, rekao je izvršni direktor Xavier Belekens za Euronews Next.

„Vidimo ogroman vrhunac iznenada tokom 10 dana, kada protivnici pokušavaju sa podrazumijevanim lozinkama. Oni pokušavaju sa nekoliko tih ranjivosti.“

Lupovis upravlja sistemom takozvanih „mednih zamki“, koje repliciraju onlajn sisteme i tehnologije svojih klijenata. Kompanija ih oprema senzorima, a zatim ih namjerno izlaže hakerima, podstičući napade kako bi mogla da prati kako se tim sistemima pristupa i kako se oni zloupotrebljavaju.

Ovi podaci se zatim mogu koristiti za identifikaciju ranjivosti bez ugrožavanja stvarnih sistema klijenata.

Upravo je putem ovog sistema Lupovis, čiji klijenti uključuju škotsku vladu, kompanije Orange, Telefónica i brojne maloprodajne kompanije, otkrio ono što opisuje kao „izviđanje“ Danfossovih sistema u danima prije novembarskih napada.

„Možete to zamisliti kao provalnike koji se voze kroz vaš komšiluk i identifikuju kuće u koje će ući i provaliti“, rekao je Belekens.

Ko je stajao iza napada?

Lupovis je zatim pratio ono što opisuje kao digitalne „mrvice hljeba“ koje su ostale nakon istrage i napada, otkrivši da je korišćen takozvani „neprobojni hosting“ – usluge veb-hostinga koje su dizajnirane da se odupru zahtjevima za uklanjanje i intervencijama organa reda.

„S jedne strane, imate Amazon Web Services, oni su suprotnost neprobojnom hostingu. Ako uradite nešto zlonamjerno sa jednim od njihovih servera, to je to, oni otkazuju vaš nalog. Neprobojni hosting je suprotnost. Ako uradite nešto zlonamjerno, to je van nadležnosti“, rekao je Belekens.

Lupovis je zatim sam ispitao provajdere hostinga.

„Shvatili smo da su neke od tih usluga neprobojnog hostinga u prošlosti koristile ruske grupe“, kaže Belekens.

Kompanija je jasna da samo zato što se serveri negdje nalaze ne znači nužno da ljudi koji ih koriste dijele istu nacionalnost, tako da ne mogu sa sigurnošću reći da Rusija stoji iza napada.

„Međutim, ovdje postoji određeni obrazac“, kaže izvršni direktor Lupovisa, „zato tražimo nekoga ko ima mogućnost da napadne određene zemlje“.

Prema riječima izvršnog direktora, senzori kompanije Lupovis u Južnoj Americi, Africi, Sjevernoj Americi i Aziji nisu zabilježili istu aktivnost. Nju su registrovali samo senzori u Evropi.

On takođe vjeruje da mogućnost koordinacije napada širom Evrope pomaže u sužavanju spiska osumnjičenih.

„Vi [napadač] morate biti u stanju da koordinišete ovaj napad jer se većina dogodila u roku od 24 sata.“

„Sve ovo nas navodi da ukazujemo na protivnika koji za nas nije nevješti amater. Oni nisu usamljeni vukovi. Izgleda kao dobro isplanirana operacija. Dakle, država ispunjava uslove.“

„Kada povučemo konac, izgleda kao da bi to mogla biti Rusija. Dakle, tu smo u osnovi.“

Incidenti se dešavaju usred šire zabrinutosti zbog hibridnih prijetnji i sumnjivih aktivnosti povezanih sa Rusijom, usmjerenih na evropske zemlje.

Međutim, precizan identitet i motivacija napadača ostaju nejasni.

George Nott, tehnološki urednik u časopisu „The Grocer“, rekao je da su se napadi očigledno oslanjali na relativno osnovne bezbjednosne slabosti, a ne na veoma napredne tehnike hakovanja.

„Napadači su uspjeli da pristupe rashladnim sistemima jednostavnim pronalaženjem njihovih stranica za prijavu na otvorenom internetu i iskorišćavanjem već zakrpljenih ranjivosti i slabih lozinki umjesto neke veoma napredne tehnologije“, rekao je on za Euronews Next.

Nott je takođe upozorio da se ne donose čvrsti zaključci o tome ko je odgovoran.

„Još uvijek nije jasno ko je stajao iza napada ili šta su se nadali da će postići. Moraćemo da se suočimo sa činjenicom da možda nikada nećemo saznati. Bez zahtjeva za otkup ili preuzimanja odgovornosti, mogao je biti bilo ko, od aktera kojeg sponzoriše država do grupe tinejdžera koji to rade iz zabave.“

Agencije za sajber-bezbjednost u zemljama pogođenim ove sedmice različito su opisale incidente. Belgija, Luksemburg, Italija, Portugal i Estonija nazvale su ih „sajber-napadom“, dok su Švedska i Irska to nazvale „sajber-incidentom“.

Agencija Evropske unije za sajber-bezbjednost (ENISA) takođe nije eksplicitno nazvala incidente sajber-napadom.

Kako su hakeri pristupili rashladnim sistemima?

Hakeri su mogli da pristupe rashladnim sistemima širom Evrope jer su kontrolne kutije povezane na internet korišćene za daljinsko upravljanje rashladnim jedinicama, rekao je Belekens.

Daljinsko upravljanje takvim uređajima uobičajeno je u današnjem sve digitalnijem svijetu. Međutim, izvršni direktor kompanije Lupovis kaže da bi mnogi sistemi mogli biti bolje zaštićeni da su bili postavljeni na virtuelne privatne mreže (VPN), umjesto da su bili direktno izloženi internetu.

„[To] bi u potpunosti ublažilo rizik jer je, poput VPN-a, složenije za iskorišćavanje“, rekao je.

Da stvar bude još gora, mnogi sistemi su navodno bili dostupni korišćenjem fabrički podešenih akreditiva, kao što su „Korisničko ime: Supervizor“ i „Lozinka: 12345“, što sugeriše da osnovne bezbjednosne mjere nisu bile sprovedene.

Nott je rekao da problem odražava širu tendenciju u maloprodajnom sektoru da se zanemaruje bezbjednost povezane opreme.

„Bezbjednost povezane opreme u maloprodajnom sektoru može se zanemariti – prioritet se daje očiglednijim ciljevima kao što su sistemi plaćanja i podaci o kupcima“, rekao je on.

Kada su hakeri dobili pristup sistemima za upravljanje rashladnim uređajima, mogli su da ih prebace na režim odmrzavanja i povećaju temperaturu, kvareći robu uskladištenu u frižiderima i zamrzivačima širom Evrope.

Da li bi sljedeća mogla biti druga povezana infrastruktura?

Napadi su izazvali zabrinutost u vezi sa bezbjednošću druge opreme povezane na internet, od mašina u supermarketima do sistema koji kontrolišu pristup, grijanje i ventilaciju u zgradama.

Nott je upozorio da budući napadi možda neće biti ograničeni samo na sisteme za hlađenje.

„Sve više sistema koji održavaju supermarkete u radu – sistemi za grijanje, ventilaciju i klimatizaciju; elektronske etikete na policama; roboti za čišćenje podova – svi bi mogli predstavljati slične ranjivosti ako daljinski pristup nije pravilno obezbijeđen i softver ažuriran“, rekao je on.

Ali potencijalna izloženost ide daleko dalje od maloprodaje.

„Zamrzivač nije poseban. To je samo najvidljiviji primjer mnogo veće kategorije“, kaže Kumar Soka, izvršni direktor kompanije Acre Security, globalnog dobavljača integrisane fizičke bezbjednosti.

„Isti mali kontroler povezan na internet koji je korišćen za zagrijavanje tih frižidera takođe upravlja vratima, čitačima kontrole pristupa, kamerama, alarmima, osvjetljenjem i grijanjem i ventilacijom u većini modernih zgrada.“

Soka je rekao da bi iste slabosti mogle uticati na logistiku i skladištenje, zdravstvo, proizvodnju i centre podataka, posebno tamo gdje je povezana oprema uvedena bez dovoljnog nadzora.

„U kancelariji, bolnici ili data centru, ista vrsta kompromitovanja može značiti vrata koja se otvaraju, kameru koja se gasi ili alarm koji ostaje nečujan, a ne bi bilo pokvarenih zaliha koje bi nekome ukazale na to da nešto nije u redu“, rekao je.

Rizik je posebno značajan za sisteme kod kojih digitalni upad može imati trenutne fizičke posljedice, dodao je.

Zašto su ovi sistemi i dalje ranjivi?

Uprkos postojećim evropskim pravilima o sajber-bezbjednosti, Soka je rekao da organizacije često ne tretiraju povezane fizičke sisteme kao dio svojih širih bezbjednosnih odgovornosti.

Direktiva EU o NIS2 zahtijeva od organizacija u njenom djelokrugu da upravljaju rizicima za svoje mreže i informacione sisteme, uključujući i kroz bezbjednosne mjere, upravljanje imovinom i rješavanje incidenata.

Međutim, Soka je rekao da mnoge organizacije i dalje fokusiraju svoje napore za usklađivanje sa propisima na tradicionalne IT sisteme, ostavljajući rashladne i druge sisteme, kao i sisteme zgrada, timovima za upravljanje objektima.

„Mnoge organizacije i dalje ograničavaju svoj rad na usklađivanju sa NIS2 na klasične IT sisteme, servere, laptopove i imejlove, a hlađenje, kontrolu pristupa i sisteme zgrada prepuštaju timu za održavanje objekata, kao dio održavanja, a ne bezbjednosti“, rekao je on.

On je tvrdio da problem nije nužno nedostatak regulative, već neprimjena postojećih zahtjeva na povezanu fizičku infrastrukturu.

„Propis nije zapravo dio koji nedostaje. Dio koji nedostaje je tretiranje ovih fizičkih sistema kao dijela površine napada koju propis već traži da zaštitite i davanje nekome jasne odgovornosti za njih.“

Da li bi vještačka inteligencija mogla olakšati buduće napade?

Stručnjaci za sajber-bezbjednost takođe upozoravaju da bi napredak u vještačkoj inteligenciji mogao olakšati identifikaciju slabosti u povezanim uređajima i potencijalno ubrzati razvoj novih napada.

„Vještačka inteligencija skraćuje vrijeme između pronalaženja ranjivosti i njenog pretvaranja u funkcionalan napad“, rekao je Gianni Cuozzo, osnivač i izvršni direktor italijanske firme za sajber-bezbjednost Exein.

Upozorio je da bi proizvođači povezanih uređaja mogli imati poteškoća sa zakrpama, testiranjem i ponovnim raspoređivanjem istom brzinom kojom se otkrivaju ranjivosti.

„Sistemi oko kojih bih se najviše brinuo jesu povezani uređaji koji godinama ostaju na terenu i kojima se može daljinski upravljati: hlađenje, kontrola zgrada, industrijska oprema, zdravstveni sistemi, centri podataka i dijelovi energetske i transportne infrastrukture.“

Cuozzo je rekao da organizacije ne bi trebalo da se oslanjaju samo na zakrpe ili zaštitu mreže, tvrdeći da povezani uređaji takođe moraju biti u stanju da sami identifikuju i blokiraju zlonamjerno ponašanje.

„Svaki uređaj mora biti u stanju da se brani tokom rada i preventivno blokira ponašanje koje nikada nije trebalo da izvrši, bez obzira na to da li postoji zakrpa i da li je ranjivost već poznata.“