Το πλήγμα εκδηλώθηκε στις 2 και 3 Νοεμβρίου, επηρεάζοντας συστήματα ψύξης σε σούπερ μάρκετ εννέα ευρωπαϊκών χωρών, καθώς και σε αρκετές τράπεζες αίματος στη Γαλλία.
Οι εισβολείς εκμεταλλεύτηκαν τα κενά ασφαλείας και τις ευάλωτες ρυθμίσεις στον διαχειριστή συστημάτων ψύξης AK-SM της εταιρείας Danfoss. Έτσι, έθεσαν ψυγεία και καταψύξεις σε λειτουργία απόψυξης, ανεβάζοντας σε ορισμένες περιπτώσεις τη θερμοκρασία στους 50 βαθμούς Κελσίου.
Το αποτέλεσμα ήταν πολλά καταστήματα τροφίμων να πετάξουν αλλοιωμένα προϊόντα. Το περιστατικό αποτελεί πλέον ένα ηχηρό παράδειγμα για το πόσο εύκολα μια κυβερνοεπίθεση μπορεί να αναστατώσει την καθημερινότητα, πλήττοντας υποδομές που θεωρούνται δεδομένες.
Για την εταιρεία κυβερνοασφάλειας Lupovis, τα στοιχεία δείχνουν μια συντονισμένη επιχείρηση στην οποία ενδέχεται να εμπλέκεται ακόμη και κρατικός δρών, καθώς είχε προηγηθεί πολυήμερη αναγνώριση του πεδίου.
Η εταιρεία αναφέρει ότι κατέγραψε έντονη δραστηριότητα χαρτογράφησης των συγκεκριμένων συστημάτων μόλις λίγες μέρες πριν από τα χτυπήματα.
Μέσα σε ένα δεκαήμερο, παρατηρήθηκαν πάνω από 276 απόπειρες πρόσβασης από 91 διαφορετικές πηγές απειλών, οι οποίες στόχευαν συγκεκριμένα εξαρτήματα των ελεγκτών της Danfoss. Η δραστηριότητα κορυφώθηκε στις 26 Οκτωβρίου και σταμάτησε απότομα στα τέλη του μήνα.
«Μεταξύ 20 και 30 Οκτωβρίου καταγράψαμε αυτό που ονομάζουμε “κύμα αναγνώρισης”», δήλωσε στο Euronews ο διευθύνων σύμβουλος της εταιρείας, Ξαβιέ Μπελεκέν.
«Είδαμε μια απότομη κατακόρυφη αύξηση για 10 ημέρες. Οι εισβολείς δοκίμαζαν τους προεπιλεγμένους κωδικούς πρόσβασης και προσπαθούσαν να εκμεταλλευτούν συγκεκριμένα κενά ασφαλείας».
Η Lupovis χρησιμοποιεί λεγόμενες «παγίδες», δηλαδή εικονικά συστήματα που προσομοιώνουν τις τεχνολογίες των πελατών της. Εξοπλισμένα με αισθητήρες, αυτά τα συστήματα αφήνονται εσκεμμένα έκθετα στους χάκερ ώστε η εταιρεία να παρακολουθεί πώς αποκτούν πρόσβαση και πώς τα εκμεταλλεύονται.
Με αυτόν τον τρόπο εντοπίζονται οι αδυναμίες, χωρίς να τίθενται σε κίνδυνο οι πραγματικές υποδομές των πελατών.
Χάρη σε αυτό το σύστημα, η Lupovis, με πελάτες όπως η κυβέρνηση της Σκωτίας, η Orange, η Telefonica και μεγάλες εταιρείες λιανικής, εντόπισε τις κινήσεις αναγνώρισης στα συστήματα της Danfoss πριν από τις επιθέσεις του Νοεμβρίου.
«Φανταστείτε το σαν διαρρήκτες που γυρίζουν σε μια γειτονιά για να εντοπίσουν ποια σπίτια θα παραβιάσουν», εξήγησε ο Μπελεκέν.
Ποιος κρύβεται πίσω από τις επιθέσεις;
Ακολουθώντας τα ψηφιακά «ίχνη» των ερευνών και των επιθέσεων, η Lupovis διαπίστωσε ότι χρησιμοποιήθηκαν υπηρεσίες bulletproof hosting, δηλαδή διαδικτυακοί διακομιστές σχεδιασμένοι να αγνοούν αιτήματα κατεβάσματος περιεχομένου και να μην συνεργάζονται με τις αρχές.
«Από τη μία πλευρά υπάρχει η Amazon Web Services, που αποτελεί το ακριβώς αντίθετο: αν κάνεις κάτι ύποπτο με τους διακομιστές της, σου κλείνει αμέσως τον λογαριασμό. Το bulletproof hosting λειτουργεί αντίστροφα. Κάνεις κάτι παράνομο και βρίσκεται εκτός δικαιοδοσίας των αρχών», σημείωσε ο Μπελεκέν.
Στη συνέχεια, η εταιρεία εξέτασε τους ίδιους τους παρόχους φιλοξενίας.
«Διαπιστώσαμε ότι ορισμένες από αυτές τις υπηρεσίες φιλοξενίας είχαν χρησιμοποιηθεί στο παρελθόν από ρωσικές ομάδες», ανέφερε ο επικεφαλής της Lupovis.
Η εταιρεία ξεκαθαρίζει πάντως ότι η τοποθεσία των διακομιστών δεν υποδηλώνει απαραίτητα την εθνικότητα των χρηστών τους. Συνεπώς, δεν μπορεί να επιβεβαιώσει με βεβαιότητα ότι πίσω από την επίθεση βρίσκεται η Ρωσία.
«Υπάρχει όμως ένα συγκεκριμένο μοτίβο», συμπληρώνει ο Μπελεκέν. «Ψάχνουμε κάποιον που διαθέτει την ικανότητα να πλήξει συγκεκριμένες χώρες».
Σύμφωνα με τον ίδιο, οι αισθητήρες της Lupovis σε Νότια Αμερική, Αφρική, Βόρεια Αμερική και Ασία δεν κατέγραψαν ανάλογη δραστηριότητα. Το φαινόμενο περιορίστηκε αποκλειστικά στην Ευρώπη.
Επιπλέον, η δυνατότητα συντονισμού ταυτόχρονων χτυπημάτων σε ολόκληρη την Ευρώπη περιορίζει σημαντικά τη λίστα των υποπτών.
«Για να εξαπολύσεις μια τέτοια επίθεση, πρέπει να έχεις μεγάλες δυνατότητες συντονισμού, καθώς το μεγαλύτερο μέρος της εκδηλώθηκε μέσα σε ένα 24ωρο».
«Όλα αυτά μας δείχνουν έναν αντίπαλο που δεν είναι ερασιτέχνης ούτε “μοναχικός λύκος”. Φαίνεται πως πρόκειται για καλά σχεδιασμένη επιχείρηση, οπότε το προφίλ ταιριάζει σε κρατικό δρώντα».
«Ξετυλίγοντας το κουβάρι, όλα δείχνουν ότι θα μπορούσε να είναι η Ρωσία. Εκεί βρισκόμαστε αυτή τη στιγμή».
Τα περιστατικά αυτά εγγράφονται στο πλαίσιο των γενικότερων ανησυχιών για υβριδικές απειλές και ύποπτες ενέργειες με πιθανή εμπλοκή της Ρωσίας σε ευρωπαϊκό έδαφος.
Παρ’ όλα αυτά, η ακριβής ταυτότητα και τα κίνητρα των δραστών παραμένουν αδιευκρίνιστα.
Ο Τζορτζ Νοτ, συντάκτης τεχνολογίας στο περιοδικό The Grocer, εκτιμά ότι οι εισβολείς εκμεταλλεύτηκαν σχετικά απλά κενά ασφαλείας και δεν χρειάστηκε να επιστρατεύσουν προηγμένες τεχνικές hacking.
«Οι δράστες απέκτησαν πρόσβαση στα συστήματα ψύξης εντοπίζοντας απλώς τις σελίδες σύνδεσης στο ανοιχτό διαδίκτυο. Εκμεταλλεύτηκαν αδυναμίες για τις οποίες υπήρχαν ήδη διορθώσεις, καθώς και αδύναμους κωδικούς πρόσβασης, αντί για κάποια προηγμένη τεχνολογία», δήλωσε στο Euronews.
Ο Νοτ εμφανίζεται επίσης επιφυλακτικός ως προς την εξαγωγή βιαστικών συμπερασμάτων για τους ενόχους.
«Παραμένει ασαφές ποιος κρύβεται πίσω από την επίθεση ή τι προσδοκούσε να πετύχει. Ίσως δεν το μάθουμε ποτέ. Χωρίς απαίτηση λύτρων ή ανάληψη ευθύνης, θα μπορούσε να είναι οτιδήποτε: από κρατικά κατευθυνόμενος δρών μέχρι μια ομάδα εφήβων που το έκανε για πλάκα».
Οι αρμόδιες αρχές κυβερνοασφάλειας των πληγεισών χωρών διατήρησαν διαφορετική στάση ως προς την ορολογία. Βέλγιο, Λουξεμβούργο, Ιταλία, Πορτογαλία και Εσθονία έκαναν λόγο για «κυβερνοεπίθεση», ενώ η Σουηδία και η Ιρλανδία προτίμησαν τον όρο «περιστατικό κυβερνοασφάλειας».
Από την πλευρά του, ο Οργανισμός της Ευρωπαϊκής Ένωσης για την Κυβερνοασφάλεια (ENISA) απέφυγε επίσης να χαρακτηρίσει ρητά τα γεγονότα ως κυβερνοεπίθεση.
Πώς παραβιάστηκαν τα συστήματα ψύξης
Η πρόσβαση στα συστήματα ψύξης κατέστη εφικτή επειδή οι ελεγκτές που ήταν συνδεδεμένοι στο διαδίκτυο χρησιμοποιούνταν για την εξ αποστάσεως διαχείριση των μονάδων, όπως εξηγεί ο Μπελεκέν.
Ο τηλεχειρισμός τέτοιων συσκευών αποτελεί συνήθη πρακτική στη σημερινή ψηφιακή εποχή. Ωστόσο, ο διευθύνων σύμβουλος της Lupovis τονίζει ότι τα συστήματα θα ήταν πολύ πιο ασφαλή αν προστατεύονταν μέσω ιδιωτικών εικονικών δικτύων (VPN) και δεν ήταν άμεσα εκτεθειμένα στο διαδίκτυο.
«Ένα VPN θα είχε εξαλείψει εντελώς τον κίνδυνο, καθώς η παραβίασή του είναι πολύ πιο σύνθετη διαδικασία», ανέφερε.
Η κατάσταση επιδεινώθηκε από το γεγονός ότι σε πολλά συστήματα διατηρήθηκαν οι εργοστασιακοί κωδικοί πρόσβασης, όπως ονόματα χρήστη «Supervisor» και κωδικοί «12345», δείγμα ότι δεν είχαν εφαρμοστεί ούτε τα βασικά μέτρα ασφαλείας.
Ο Νοτ σημειώνει ότι το πρόβλημα αντικατοπτρίζει μια γενικότερη τάση στον τομέα της λιανικής, όπου η ασφάλεια του συνδεδεμένου εξοπλισμού συχνά παραμελείται.
«Η ασφάλεια του συνδεδεμένου εξοπλισμού στο λιανεμπόριο συχνά παραβλέπεται, καθώς η προσοχή δίνεται σε πιο προφανείς στόχους, όπως τα συστήματα πληρωμών και τα δεδομένα των πελατών», τόνισε.
Μόλις απέκτησαν τον έλεγχο, οι χάκερ έθεσαν τα συστήματα σε λειτουργία απόψυξης και ανέβασαν τις θερμοκρασίες, αχρηστεύοντας τα προϊόντα που βρίσκονταν στα ψυγεία.
Είναι ασφαλείς οι υπόλοιπες συνδεδεμένες υποδομές;
Οι επιθέσεις εγείρουν σοβαρές ανησυχίες για την ασφάλεια και άλλων συσκευών που συνδέονται στο διαδίκτυο, από τα μηχανήματα των σούπερ μάρκετ μέχρι τα συστήματα ελέγχου πρόσβασης, θέρμανσης και εξαερισμού κτιρίων.
Ο Νοτ προειδοποιεί ότι οι μελλοντικές επιθέσεις ενδέχεται να μην περιοριστούν στα ψυγεία.
«Όσο περισσότερα συστήματα που κρατούν ζωντανά τα σούπερ μάρκετ συνδέονται στο διαδίκτυο, όπως ο κλιματισμός, οι ηλεκτρονικές ετικέτες ραφιών ή τα ρομπότ καθαρισμού, τόσο αυξάνεται ο κίνδυνος να παρουσιάσουν παρόμοιες αδυναμίες, αν η απομακρυσμένη πρόσβαση δεν είναι θωρακισμένη και το λογισμικό δεν ενημερώνεται», υπογράμμισε.
Ωστόσο, η έκθεση στον κίνδυνο ξεπερνά κατά πολύ το λιανεμπόριο.
«Τα ψυγεία δεν αποτελούν ειδική περίπτωση. Είναι απλώς το πιο ορατό παράδειγμα μιας πολύ μεγαλύτερης κατηγορίας», αναφέρει ο Κουμάρ Σόκα, διευθύνων σύμβουλος της Acre Security, εταιρείας που ειδικεύεται στα ενσωματωμένα συστήματα φυσικής ασφάλειας.
«Ο ίδιος τύπος μικρού ελεγκτή που ανέβασε τη θερμοκρασία στα ψυγεία διαχειρίζεται τις πόρτες, τις κάρτες πρόσβασης, τις κάμερες, τους συναγερμούς, τον φωτισμό και τον κλιματισμό στα περισσότερα σύγχρονα κτίρια».
Ο Σόκα συμπληρώνει ότι οι ίδιες αδυναμίες μπορούν να επηρεάσουν την εφοδιαστική αλυσίδα, τις αποθήκες, τον τομέα της υγείας, τη βιομηχανία και τα κέντρα δεδομένων, ειδικά όπου εισάγεται συνδεδεμένος εξοπλισμός χωρίς την απαραίτητη επίβλεψη.
«Σε ένα γραφείο, ένα νοσοκομείο ή ένα κέντρο δεδομένων, μια παρόμοια εισβολή μπορεί να σημαίνει μια πόρτα που ξεκλειδώνει, μια κάμερα που σβήνει ή έναν συναγερμό που δεν χτυπά. Και εκεί δεν θα υπάρχουν αλλοιωμένα τρόφιμα για να καταλάβει κανείς αμέσως ότι κάτι πάει λάθος», εξήγησε.
Ο κίνδυνος είναι ιδιαίτερα μεγάλος σε συστήματα όπου μια ψηφιακή παραβίαση έχει άμεσες φυσικές επιπτώσεις, πρόσθεσε.
Γιατί παραμένουν ευάλωτα αυτά τα συστήματα;
Παρά τους ευρωπαϊκούς κανόνες για την κυβερνοασφάλεια, ο Σόκα επισημαίνει ότι οι οργανισμοί συχνά δεν αντιμετωπίζουν τα συνδεδεμένα φυσικά συστήματα ως μέρος της συνολικής τους ασφάλειας.
Η οδηγία NIS2 της Ευρωπαϊκής Ένωσης υποχρεώνει τους εμπλεκόμενους φορείς να διαχειρίζονται τους κινδύνους στα δίκτυα και τα πληροφοριακά τους συστήματα, λαμβάνοντας μέτρα ασφαλείας, διαχειριζόμενοι τα στοιχεία ενεργητικού και αντιμετωπίζοντας εγκαίρως τα περιστατικά.
Ωστόσο, σύμφωνα με τον Σόκα, οι περισσότεροι εστιάζουν την συμμόρφωσή τους στα παραδοσιακά συστήματα πληροφορικής, στους διακομιστές, τους φορητούς υπολογιστές και τα emails, αφήνοντας τα ψυγεία και τις υποδομές των κτιρίων στις ομάδες συντήρησης εγκαταστάσεων.
«Πολλοί οργανισμοί περιορίζουν την εφαρμογή της οδηγίας NIS2 στο κλασικό IT, στους διακομιστές, τους φορητούς υπολογιστές και τα email, και αφήνουν την ψύξη, τον έλεγχο πρόσβασης και τα συστήματα των κτιρίων στο προσωπικό συντήρησης, αντιμετωπίζοντάς τα ως θέματα τεχνικής υποστήριξης και όχι ασφάλειας», ανέφερε.
Ο ίδιος υποστηρίζει ότι το πρόβλημα δεν έγκειται στην έλλειψη θεσμικού πλαισίου, αλλά στη μη εφαρμογή των υπαρχουσών απαιτήσεων στις συνδεδεμένες φυσικές υποδομές.
«Το νομοθετικό πλαίσιο υπάρχει. Αυτό που λείπει είναι η αντιμετώπιση αυτών των φυσικών συστημάτων ως μέρος της επιφάνειας επιθέσεων που ο νόμος ήδη απαιτεί να προστατευθεί, καθώς και η ανάθεση σαφούς ευθύνης σε συγκεκριμένα πρόσωπα».
Μπορεί η τεχνητή νοημοσύνη να διευκολύνει μελλοντικές επιθέσεις;
Εμπειρογνώμονες κυβερνοασφάλειας προειδοποιούν επίσης ότι η εξέλιξη της τεχνητής νοημοσύνης μπορεί να διευκολύνει τον εντοπισμό αδυναμιών σε συνδεδεμένες συσκευές, επιταχύνοντας την ανάπτυξη νέων επιθέσεων.
«Η τεχνητή νοημοσύνη μειώνει δραστικά τον χρόνο που μεσολαβεί από την ανακάλυψη μιας αδυναμίας μέχρι τη μετατροπή της σε ενεργή επίθεση», δήλωσε ο Τζάνι Κουότσο, ιδρυτής και διευθύνων σύμβουλος της ιταλικής εταιρείας κυβερνοασφάλειας Exein.
Ο ίδιος προειδοποίησε ότι οι κατασκευαστές συνδεδεμένων συσκευών δύσκολα θα μπορούν να αναπτύσσουν, να δοκιμάζουν και να κυκλοφορούν διορθώσεις με την ίδια ταχύτητα που ανακαλύπτονται τα κενά ασφαλείας.
«Τα συστήματα που με ανησυχούν περισσότερο είναι οι συνδεδεμένες συσκευές που παραμένουν σε λειτουργία για χρόνια και επιδέχονται εξ αποστάσεως έλεγχο: η ψύξη, τα συστήματα ελέγχου κτιρίων, ο βιομηχανικός εξοπλισμός, τα ιατρικά συστήματα, τα κέντρα δεδομένων και τμήματα των υποδομών ενέργειας και μεταφορών».
Ο Κουότσο υπογράμμισε ότι οι οργανισμοί δεν πρέπει να βασίζονται αποκλειστικά στις διορθώσεις λογισμικού ή στην προστασία του δικτύου. Οι ίδιες οι συνδεδεμένες συσκευές πρέπει να είναι σε θέση να εντοπίζουν και να μπλοκάρουν κακόβουλες συμπεριφορές.
«Κάθε συσκευή πρέπει να μπορεί να αμυνθεί την ώρα της λειτουργίας της και να εμποδίζει προληπτικά ενέργειες που δεν ήταν σχεδιασμένη να εκτελεί, ανεξάρτητα από το αν υπάρχει διαθέσιμη διόρθωση ή αν το κενό ασφαλείας είναι ήδη γνωστό».
Πηγή: Pagenews.gr