Hacker lösen Abtauzyklen in französischen Supermärkten aus

Als die Beschäftigten am Montagmorgen eintrafen, konnten sie frische und tiefgekühlte Ware nicht mehr verkaufen. In der Nacht von Sonntag, dem 11., auf Montag, den 12. Oktober, waren Angreifer in die Rechner eingedrungen, die die Kühlung französischer Supermärkte steuern (Euronews). Allein bei Intermarché und der Schwestermarke Netto waren mindestens 300 Filialen betroffen (AFP via TV5Monde). Wie die Angreifer in die Systeme gelangten, ist öffentlich bislang nicht geklärt.

Wie die Kühlung auf Wärme schaltet

Ein großer Supermarkt betreibt Dutzende Kühlmöbel und Gefriertruhen, die ein zentraler Rechner koordiniert. Danfoss, der dänische Hersteller der betroffenen Steuerungen, beschreibt seine AK-SM-„Systemmanager“ als zentrale Stelle, an der Techniker Einstellungen, Zeitpläne und Alarme ändern könnten, auch aus der Ferne über einen Webbrowser (Danfoss). Man kann sie sich als zentrale Thermostatsteuerung für den ganzen Markt vorstellen, auf die auch ein Wartungstechniker aus der Ferne zugreifen kann.

Zu den Routinen, die diese Steuerung verwaltet, gehört das Abtauen. Die Kühlregister, also die kalten Metallrohre im Inneren der Kühlmöbel, vereisen allmählich. Das System erwärmt sie kurz, um das Eis zu schmelzen; ähnlich funktioniert das Abtauen eines Haushaltsgefriergeräts, nur automatisch und für kurze Zeit.

Die Händler berichteten, Angreifer hätten den Abtauzyklus in ihren Anlagen erzwungen; als Sollwert seien bis zu 50 °C eingestellt gewesen (BFMTV). Die Angabe bezeichnet den im Steuergerät hinterlegten Sollwert: Sie gibt vor, welche Temperatur die Heizung am Register erreichen soll, nicht die Temperatur, die ein Hähnchenpäckchen im Regal tatsächlich angenommen hat.

Für die Ware ist vor allem die Dauer entscheidend. Les Mousquetaires, der Mutterkonzern von Intermarché, teilte Reuters mit, die Anlagen in einer ersten Gruppe von rund 150 Filialen seien etwa sechs Stunden lang aufgeheizt gewesen (Reuters via Boursorama). Wenn die Kühlung so lange aussetzt, kann ein Geschäft nicht mehr gewährleisten, dass die Ware in den Kühlmöbeln durchgehend ausreichend kalt geblieben ist; deshalb muss der Bestand entsorgt werden. Der Konzernchef Thierry Cotillard bezifferte die Verluste für einen einzigen Tag auf mehrere zehn Millionen Euro (BFMTV). Das war eine erste Schätzung, keine geprüfte Abrechnung.

Hunderte Filialen, keine verlässliche Gesamtzahl

Die Zahl der betroffenen Märkte stieg am Montag weiter. Eine spätere AFP-Meldung bezifferte die Zahl bei Coopérative U auf mehr als 100 Filialen (AFP). Carrefour teilte Reuters mit, 80 seiner Märkte seien betroffen; bei Monoprix seien es etwa fünf Prozent der rund 490 Filialen (Reuters).

E.Leclerc bestätigte Störungen in mehreren Filialen nach einem Angriff auf einen Anbieter von Kühltechnik; Metro teilte mit, ein externer Dienstleister sei angegriffen worden. Beide nannten keine Zahlen (Le Monde). Da einige Ketten keine Zahlen veröffentlichten und andere ihre Angaben im Laufe des Tages änderten, gibt es bislang keine verlässliche Gesamtzahl für Frankreich.

Der Zugangsweg bleibt ungeklärt

Frankreichs Cyber-Notfallteam CERT-FR meldete zahlreiche kompromittierte Danfoss-Steuerungen der Modelle AK-SM und AK-SC. Es warnte, die Verwaltungsoberflächen offen im öffentlichen Internet erreichbar zu lassen, verstoße gegen bewährte Sicherheitspraktiken (CERT-FR).

Danfoss zufolge waren die meisten betroffenen Geräte ältere Modelle, für die es keine Sicherheitsupdates mehr gibt. Bei ebenfalls betroffenen neueren Geräten sei die integrierte Software, die Firmware, nicht auf dem aktuellen Stand gewesen (Cooling Post). Das Unternehmen teilte der dänischen Nachrichtenagentur Ritzau mit, seine eigenen IT-Systeme seien nicht betroffen gewesen (Ritzau via DKNyt).

Sicherheitsforscher hatten diese Geräte bereits zuvor untersucht. Das Team von Claroty zeigte, wie Schwachstellen in einem Danfoss-Steuerungsmodell Angreifern ermöglichen könnten, die Kühlung zu manipulieren; bei einer Suche fand es 2.765 solcher Verwaltungsoberflächen, die über das Internet erreichbar waren (Claroty Team82). Keine öffentlich zugängliche Quelle belegt bislang, dass in Frankreich genau diese Schwachstellen ausgenutzt wurden.

Die Pariser Staatsanwaltschaft hat Ermittlungen aufgenommen, um die Zahl der Betroffenen zu erfassen und festzustellen, ob die verdorbenen Lebensmittel und die gemeldeten Brände auf den Angriff zurückzuführen seien (France 24/AFP). Laut einer Quelle aus dem Umfeld des Premierministers habe die nationale Cyberagentur ANSSI eine Schwachstelle in der Software des dänischen Anbieters gefunden und suche nach weiteren französischen Unternehmen, deren Systeme gefährdet sein könnten (Franceinfo).

Die Schäden an den Waren in Hunderten Märkten sind bestätigt. Wie die Angreifer in die Systeme gelangten, ist weiter ungeklärt; die Staatsanwaltschaft und ANSSI müssen den Zugangsweg aufklären und öffentlich darlegen. Bis dahin sollten Betreiber solcher Steuerungen prüfen, ob ihre Verwaltungsoberflächen von außen erreichbar sind.