سوءاستفاده از کنترلرهای تبرید در حملات سایبری و ایجاد بات‌نت
Hackers abuse refrigeration controllers to send spam and route proxy traffic
پژوهشگران امنیتی دریافته‌اند که کنترلرهای تبرید متصل به اینترنت در فروشگاه‌ها و مراکز نگهداری مواد غذایی، توسط مهاجمان برای ارسال هرزنامه و ایجاد پروکسی‌های غیرمجاز مورد سوءاستفاده قرار می‌گیرند. این تجهیزات همچنین به دلیل ضعف‌های امنیتی و استفاده از تنظیمات پیش‌فرض، هدف حملات مخربی قرار گرفته‌اند که منجر به تغییر دمای سیستم‌ها و فساد مواد فاسدشدنی شده است.
جزئیات فنی و نحوه نفوذ
تیم STRIKE در شرکت SecurityScorecard با تحلیل ترافیک شبکه، کنترلرهای Copeland XWEB PRO ساخت شرکت Dixell را شناسایی کرد که به عنوان گره‌های بات‌نت برای ارسال هرزنامه و فعالیت‌های پروکسی استفاده می‌شدند. این دستگاه‌ها در واقع رایانه‌های کوچک مبتنی بر لینوکس هستند که به دلیل عدم نظارت امنیتی، به بستری ایده‌آل برای مهاجمان تبدیل شده‌اند.
مهاجمان احتمالاً از آسیب‌پذیری CVE-2026-25085 برای دور زدن احراز هویت و دسترسی به پنل‌های مدیریتی استفاده می‌کنند. علاوه بر این، گزارش Ransom-ISAC نشان می‌دهد که بسیاری از این تجهیزات همچنان با نام کاربری و رمز عبور پیش‌فرض کارخانه در دسترس هستند که به مهاجمان اجازه می‌دهد بدون نیاز به بهره‌برداری از آسیب‌پذیری‌های پیچیده، کنترل کامل دستگاه را در دست بگیرند.
تأثیرات عملیاتی و حملات فیزیکی
در حملات اخیر در اروپا، مهاجمان با دسترسی به کنترلرها، تنظیمات دما را به ۱۱۰ و ۱۵۰ درجه سانتی‌گراد تغییر داده و هشدارهای سیستم را غیرفعال کردند. این اقدام منجر به فساد مواد غذایی در صدها فروشگاه در فرانسه، بلژیک، لوکزامبورگ، سوئد، فنلاند، ایرلند، استونی و هلند شده است. همچنین، مراکز بانک خون فرانسه (EFS) نیز تحت تأثیر این حملات قرار گرفته و با افزایش ناگهانی دما در سردخانه‌های خود مواجه شدند.
اگرچه گروه‌هایی مانند NoName057(16) و Z-Pentest مسئولیت برخی حملات را بر عهده گرفته‌اند، اما هنوز ارتباط قطعی میان تمامی این حوادث و یک گروه واحد تأیید نشده است. در بسیاری از موارد، هدف مهاجمان ایجاد خسارت فیزیکی بدون درخواست باج بوده است.
نکته‌های کلیدی
- سوءاستفاده از کنترلرهای Copeland XWEB PRO برای ارسال هرزنامه و ترافیک پروکسی.
- بهره‌برداری از آسیب‌پذیری CVE-2026-25085 و استفاده از رمزهای عبور پیش‌فرض کارخانه.
- تغییر عمدی دمای سردخانه‌ها به بیش از ۱۰۰ درجه سانتی‌گراد برای تخریب محتویات.
- عدم به‌روزرسانی نرم‌افزاری تجهیزات به دلیل دشواری در آفلاین کردن سیستم‌های تبرید.
- شناسایی دستگاه‌های آلوده به عنوان قربانیان زیرساختی، نه لزوماً دارایی‌های تحت کنترل مستقیم مهاجم.
چه باید کرد
- تغییر فوری تمامی رمزهای عبور پیش‌فرض کارخانه در کنترلرهای تبرید.
- اعمال به‌روزرسانی‌های امنیتی ارائه‌شده برای رفع آسیب‌پذیری‌های گزارش‌شده توسط Claroty Team82.
- قطع دسترسی مستقیم پنل‌های مدیریتی به اینترنت عمومی و استفاده از راهکارهای امنیتی مانند VPN برای دسترسی از راه دور.
- پایش دقیق ترافیک خروجی کنترلرها برای شناسایی فعالیت‌های غیرعادی مانند ارسال ایمیل یا ترافیک پروکسی.