С 11 по 13 октября 2026 года удалённая перенастройка холодильников Danfoss задела сотни супермаркетов во Франции, включая сети Intermarché и Coopérative U. В ночь на 1 ноября волна повторилась в нескольких странах Европы, а на площадках французской службы крови камеры выставили на 110 градусов - персонал успел вмешаться. Продукты испортились, магазины приостанавливали работу, и руководители пострадавших сетей говорят о потенциальном ущербе в десятки миллионов евро. Разведку атакующие вели больше недели, а уязвимости в прошивках контроллеров раскрыли ещё в августе.
Описание
Причина - прямая доступность устройств из интернета и устаревшие прошивки. Уязвимости в них в августе раскрыла группа Team82 компании Claroty. Атакующие не применяли ни одной уязвимости с исполнением кода, поэтому файловые системы контроллеров уцелели. Вместо этого они меняли уставки температуры, циклы разморозки и пороги аварийных сигналов так, чтобы персонал не замечал изменений несколько часов.
Масштаб открытых систем аналитики оценили по поисковику устройств Censys. По данным компании, 11 октября в мире насчитывалось свыше 2 700 доступных систем Danfoss, и значительная часть стояла во Франции. К вечеру следующего дня примерно половина французских устройств перестала отвечать из интернета. Сначала это выглядело как уничтожение контроллеров, но закрытые источники показали: менялись только параметры установок. Скорее всего, устройства закрывали сами пострадавшие.
После первой волны в сети решили, что атака использовала CVE-2025-41450 - уязвимость обхода аутентификации, известную как «code of the day». Проверка пароля в ней сравнивает первые пять его символов с кодом, собранным из текущей даты, и совпадение открывает доступ к устройству без имени пользователя. Подтвердить применение этой уязвимости в октябре не удалось. Запросы, уточняющие системную дату, ловили подставные устройства-приманки, имитирующие веб-интерфейс контроллера, но кто их слал - злоумышленники или исследователи - не установлено.
Единственная подтверждённая попытка эксплуатации пришлась на вечер 1 ноября и совпала по времени со второй волной. Запросы пришли на приманки и целились в непубличную уязвимость: она позволяет переименовать любую учётную запись без аутентификации, зная лишь её числовой идентификатор. В реальной попытке выбирали административную учётную запись, чтобы затем сбросить её пароль отдельным запросом. Первый запрос заблокировали, второй не дошёл. Разобраться в назначении перехваченного обращения помогла языковая модель - с прошивками Danfoss с сайта производителя она справилась за минуты.
Девятого ноября французские власти связали операцию с подразделением «Shahid Kaveh» Корпуса стражей исламской революции, которое публично действует как CyberAveng3rs. Ранее эта группа атаковала системы водоснабжения в США, а в 2026 году нарушила работу более 30 систем водоснабжения в Миннесоте. Заявку NoName057(16) и Z-Pentest аналитики считают недоказанной: за NoName057(16) тянется история ложных заявлений, а выложенные учётные данные похожи на агрегированные логи похитителей, а не на выгрузку базы.
Общей картины пока не хватает. Технических индикаторов, связывающих инцидент с подразделением, нет: вывод опирается на совпадение целей, времени и тактики. Совпадение времени, инфраструктуры и приёмов в двух волнах позволяет говорить лишь о вероятной общей причастности. Кто именно стоял за запросами к приманкам в конце октября, тоже неизвестно.
Индикаторы компрометации
