Хранение крови во Франции оказалось под угрозой из-за взлома морозильных камер, пока вокруг возможных виновников сгущаются теории

Французские власти заявили, что холодильники, используемые в медицинских учреждениях для хранения донорской крови, пострадали от недавних кибератак, совершенных неизвестными хакерами.

Французская служба крови (EFS) сообщила, что холодильные камеры для хранения крови подверглись атаке хакеров, в результате чего температура в них стала повышаться, однако персонал вмешался, чтобы защитить запасы крови.

«Никаких последствий для здоровья выявлено не было, и о потерях продуктов крови не сообщалось», — заявили в EFS.

До сих пор было известно, что от взломов пострадали только супермаркеты.

Между тем в сети распространяются слухи о том, что российские хактивистские группы заявили о совместной работе по взлому одной из систем, использовавшихся в атаках на европейские супермаркеты.

Группировки Noname057(16) и Z-Pentest Alliance опубликовали сообщения о том, что они успешно взломали систему Danfoss, что вызвало предположения об их причастности ко взломам морозильного оборудования.

Однако теперь аналитики ставят под сомнение, означает ли это их причастность к кибератакам на супермаркеты.

Хотя участие российских групп не исключается, эксперты говорят, что ответственными также могут быть иранские хактивисты, хакеры, поддерживаемые государством, или даже подростки, устраивающие розыгрыши.

Исследователи в области кибербезопасности из нескольких компаний изучают улики, собранные с так называемых «приманок» (honeypots), чтобы найти зацепки и выяснить, кто стоит за волнами взломов морозильных камер.

Три отдельные компании по кибербезопасности установили ложные программные ловушки, имитирующие морозильное оборудование, чтобы проследить, как хакеры пытаются использовать их для атак.

В сфере кибербезопасности «приманка» (honeypot) — это цифровая ловушка (например, фальшивая компьютерная сеть или файл), намеренно созданная так, чтобы выглядеть как уязвимая цель, с целью завлечь и поймать хакеров.

Отслеживая эти ловушки, эксперты по безопасности могут безопасно изучать методы злоумышленников, не подвергая риску реальные системы.

Судя по активности, зафиксированной после первой волны кибератак, вторая волна, обрушившаяся на несколько европейских стран, похоже, была высоконаправленной.

«Тот факт, что все эти морозильные камеры были атакованы одновременно, указывает на планирование и координацию», — говорит Райан Дьюхёрст из испанской компании по кибербезопасности Previdian.

Точку входа в пострадавшие программные продукты для морозильного оборудования было несложно использовать, поскольку они были плохо защищены, а известные методы атак уже циркулировали в сети.

Однако эксперты, такие как Дьюхёрст, утверждают, что хакеру или хакерам пришлось собрать информацию о публичных IP-адресах устройств, чтобы составить список целей, а затем потратить время на принятие решения о том, какие методы использовать и когда их запустить.

«Учитывая зарегистрированное время повышения температуры на устройствах — судя по всему, это произошло ночью для нанесения максимального ущерба, — это служит еще одним доказательством того, что атака была спланирована и скоординирована», — сказал он.

Другая киберфирма, использующая аналогичную технологию приманок для принуждения хакеров к раскрытию своей тактики, — это компания Lupovis, базирующаяся в Стратклайде.

У нее были приманки, которые, казалось, располагались по всему миру, и активность на них начала проявляться за 10 дней до второй волны кибератак.

Примечательно, что команда заметила, как хакеры сканировали и зондировали фальшивые сайты морозильного оборудования только в Европе.

«Ни одна из наших приманок в таких регионах, как Африка или Южная Америка, вообще не подверглась атаке», — сказал основатель Lupovis доктор Ксавье Беллекенс.

«Даже приманки в Украине оставлены без внимания».

Третья компания — французская фирма по киберзащите Sekoia — также зафиксировала активность сканирования перед второй волной кибератак, но заявила, что это могло быть автоматическое сканирование без злого умысла.

В отчете для своих клиентов она указала, что имеющиеся данные свидетельствуют о соответствии схемы атаки активности российских хактивистов или правительства России, которое обвиняют в ведении так называемой «гибридной войны» с помощью кибератак по всей Европе.

Однако исследование Sekoia также указывает на иранских правительственных хакеров или хактивистов.

«Связанные с Ираном субъекты имеют подтвержденный опыт атак на подключенные к интернету промышленные системы управления, и предыдущие инциденты были связаны с тем же оборудованием в Израиле и США, которые являются противниками Ирана», — говорится в отчете.

По данным Sekoia, около 40 израильских супермаркетов, использующих контроллеры Danfoss, были взломаны в 2022 году.

Между тем в конце августа морозильные камеры по меньшей мере на шести военных базах США были переведены в режим разморозки, как и во Франции. Модели контроллеров пока не подтверждены, расследование продолжается.

«На сегодняшний день у нас нет технических доказательств, указывающих на причастность русскоязычных групп», — заявила BBC представительница Sekoia.

«Более того, поскольку NoName057 не известна эффективным проведением операций помимо DDoS-атак и имеет историю ложных заявлений об авторстве атак, мы скептически относимся к их заявлениям об ответственности».

Атаки типа «отказ в обслуживании» (DDoS) работают путем заваливания веб-сайта или онлайн-сервиса интернет-трафиком в попытке вывести его из строя или иным образом сделать недоступным.

Власти нескольких стран активно расследуют взломы и предупреждают супермаркеты о возможных будущих атаках.

Однако официальных обвинений никому предъявлено не было.

Ни одна из трех киберфирм, собирающих данные с приманок, не исключает вероятности того, что это может быть подросток.

Но, учитывая необходимый объем планирования, все эксперты сходятся во мнении, что это должна быть хорошо скоординированная группа, и если это так, они ожидают, что в скором времени в сети появятся хвастливые заявления.

В Sekoia также заявили, что остается вероятность того, что все три волны были проведены разными независимыми группами или подражателями.