Il gruppo di ricerca Team82 di Claroty ha individuando vulnerabilità in due piattaforme di controller utilizzate per la gestione dei sistemi di refrigerazione commerciale che, se sfruttate, avrebbero consentito ai criminali informatici di compromettere i sistemi e avere gravi conseguenze sulla loro operatività.
La sicurezza di queste tecnologie assume particolare rilevanza considerando il ruolo della refrigerazione nella moderna catena del freddo, che dipende da un controllo preciso e ininterrotto della temperatura. I grandi centri di distribuzione conservano tonnellate di alimenti deperibili, i supermercati gestiscono estese reti di banchi e sistemi refrigerati e le strutture sanitarie custodiscono prodotti farmaceutici sensibili alla temperatura.
Al centro di queste infrastrutture si trovano i controller di supervisione, che coordinano le apparecchiature di refrigerazione e ne garantiscono un funzionamento stabile. La compromissione di questi sistemi può quindi avere conseguenze operative significative.
Il Team82 ha analizzato la superficie di attacco della piattaforma Danfoss AK-SM 800A, ampiamente utilizzata per la gestione delle infrastrutture di refrigerazione in supermercati, strutture per la conservazione a freddo, magazzini e altri ambienti commerciali.
La ricerca ha portato alla luce diverse vulnerabilità nell’interfaccia web di gestione integrata. Tra queste, un meccanismo nascosto di autenticazione basato su un “codice del giorno” (code-of-the-day), che poteva essere sfruttato per aggirare le normali procedure di autenticazione.
I ricercatori hanno inoltre individuato una vulnerabilità di command injection, in grado di consentire l’esecuzione di codice da remoto (Rce), e una falla che permetteva agli utenti autenticati di inserire direttive arbitrarie nella configurazione di Nginx. Quest’ultima poteva essere sfruttata per manipolare il traffico web e provocare una condizione di denial-of-service (DoS).
L’analisi è partita dall’esame dell’esposizione di questi dispositivi su Internet, che ha portato all’individuazione di migliaia di interfacce di gestione accessibili pubblicamente. Il Team82 ha quindi effettuato il reverse engineering del firmware per ricostruire l’architettura del servizio web integrato, tracciando ciascuna vulnerabilità dagli handler delle richieste Http fino all’implementazione sottostante.
I risultati mostrano come funzionalità non documentate, modalità non sicure di costruzione dei comandi e configurazioni del web server modificabili dinamicamente possano combinarsi, dando origine a potenti catene di attacco contro sistemi cyber-fisici (Cps) accessibili da Internet.
Parallelamente, il Team82 ha analizzato la superficie di attacco della piattaforma Copeland XWeb Pro per valutarne la resilienza agli attacchi provenienti dalla rete. La ricerca ha individuato complessivamente 23 vulnerabilità, 21 delle quali classificate come ad alta gravità.
Ciascuna vulnerabilità rappresentava singolarmente un rischio significativo per la sicurezza e avrebbe potuto consentire a un attaccante non autenticato di aggirare progressivamente i meccanismi di protezione della piattaforma, fino a ottenere l’esecuzione di codice da remoto (Rce) con privilegi di root.
Per verificare le possibili conseguenze concrete di un attacco, il Team82 ha condotto anche una dimostrazione in un ambiente di test fisico. I ricercatori hanno mostrato come la compromissione di un controller di supervisione possa consentire a un criminale informatico di intervenire fisicamente sui sistemi di refrigerazione, alterandone il funzionamento e provocando il deterioramento del contenuto senza che ciò venga rilevato.
Al termine delle rispettive attività di ricerca, il Team82 ha segnalato le vulnerabilità ai produttori attraverso un processo di coordinated disclosure. Danfoss è intervenuta risolvendo le vulnerabilità individuate con il rilascio di una nuova versione del firmware, mentre Copeland ha corretto le vulnerabilità attraverso un aggiornamento del firmware, con il rilascio della versione 1.13.
