Chaîne du froid : Sekoia analyse les cyberattaques attribuées à l’Iran

Comment des systèmes de réfrigération ont-ils pu être détournés à distance dans des centaines de supermarchés ? Dans une analyse publiée le 10 novembre, Sekoia détaille les faiblesses des contrôleurs Danfoss visés lors des cyberattaques d’octobre et de novembre. Les autorités françaises ont attribué l’opération, le 9 novembre, à l’unité « Shahid Kaveh » des Gardiens de la révolution iraniens, notamment connue sous le nom de CyberAveng3rs.

Selon Sekoia, ces attaques ne nécessitaient pas de techniques particulièrement sophistiquées : les équipements étaient directement accessibles sur Internet et insuffisamment mis à jour. Les attaquants ont modifié les températures, les cycles de dégivrage et les seuils d’alarme pour perturber les installations tout en retardant la détection. Au 11 octobre, l’entreprise recensait environ 1 700 systèmes Danfoss exposés en France, sans que tous aient nécessairement été compromis.

Grâce à des leurres reproduisant les interfaces des contrôleurs, les chercheurs ont observé, le 1er novembre, une tentative visant à renommer un compte sans authentification. Leur analyse suggère une étape préalable à la réinitialisation du mot de passe d’un administrateur, mais la chaîne d’exploitation complète n’a pas été observée.

Sekoia estime que les similitudes entre les deux vagues suggèrent un même acteur. L’entreprise juge en revanche non étayée la revendication des groupes prorusses NoName057(16) et Z-Pentest. Elle appelle à retirer les contrôleurs de l’Internet public, à sécuriser la télémaintenance et à appliquer les correctifs.

Lire l’analyse complète de Sekoia (en anglais).