Bộ điều khiển hệ thống lạnh Copeland XWEB bị chiếm quyền để phát tán spam và làm proxy

Các bộ điều khiển hệ thống lạnh kết nối Internet dùng trong siêu thị và kho lạnh đang bị chiếm quyền để làm hạ tầng cho một mạng botnet phát tán thư rác và dịch vụ proxy. Theo Help Net Security, phát hiện này do nhóm tình báo mối đe doạ STRIKE của SecurityScorecard công bố, nhắm vào dòng Copeland XWEB PRO (gốc của hãng Dixell), thiết bị điều khiển tủ đông, tủ mát và cho phép kỹ thuật viên chỉnh nhiệt độ từ xa.

Từ siêu thị Pháp tới ngân hàng máu

Báo cáo xuất hiện sau chuỗi vụ tấn công vào hệ thống lạnh ở châu Âu. Tháng 10, hàng trăm siêu thị tại Pháp phải huỷ hàng hỏng sau khi kẻ tấn công chiếm hệ thống điều khiển tủ lạnh và chuyển sang chế độ làm nóng qua đêm. Khoảng ba tuần sau, làn sóng mới lan tới Bỉ, Luxembourg, Thụy Điển, rồi Phần Lan, Ireland, Estonia và Hà Lan. Tuần trước, Cơ quan Máu Pháp (EFS) xác nhận phòng lạnh tại ba ngân hàng máu bị tăng nhiệt độ sau khi một nhà cung cấp thiết bị lạnh của họ bị xâm nhập.

Thiết bị lạnh thành máy gửi thư rác

STRIKE lọc dữ liệu quét Internet để tìm đúng bộ điều khiển XWEB rồi phân tích lưu lượng mạng từ các thiết bị này. Chín địa chỉ IP, phát hiện từ ngày 2/11, gửi email ra ngoài nhưng không nhận thư nào, hành vi không giống máy chủ thư hợp lệ; ba trong số đó được xác nhận là bộ điều khiển XWEB. Ba nút hoạt động mạnh nhất có chung khoảng 47% đích gửi, và 508 trong 1.041 đích bị từ hai nút trở lên nhắm tới, cho thấy có một đầu mối điều phối chung.

Hai thiết bị khác bị dùng cho mục đích khác: một bộ ở Namibia làm cổng đường hầm, mang 71% lưu lượng trong dữ liệu thu được; một bộ ở Trinidad và Tobago kết nối tới 10.643 máy khác trong 17 giờ, giống một điểm thoát proxy dân cư. SecurityScorecard cho rằng kẻ tấn công nhiều khả năng khai thác CVE-2026-25085, lỗi kiểm tra đăng nhập cho phép vượt qua màn hình mật khẩu mà không cần xác thực. Đây là một trong 23 lỗ hổng do Claroty Team82 báo cho CISA, cơ quan này đã ra cảnh báo từ tháng 2. Mức tin cậy tổng thể của báo cáo được nhóm nghiên cứu tự đánh giá ở mức thấp đến trung bình.

Không cần lỗ hổng, chỉ cần mật khẩu mặc định

Một ngày sau, Ransom-ISAC công bố phân tích vụ tấn công một bộ XWEB Pro khác. Rạng sáng 2/11, hai phiên Administrator từ IP ở Úc và Hà Lan đọc cấu hình 31 thiết bị rồi thực hiện 743 thay đổi, gồm đặt nhiệt độ 110°C và 150°C, tắt cảnh báo và khoá bàn phím tại chỗ. Theo tác giả Massimo Giaimo, kẻ tấn công "không cần lỗ hổng nào, chỉ cần thông tin đăng nhập mặc định". Ransom-ISAC cảnh báo hàng nghìn bộ điều khiển như vậy vẫn mở ra Internet và bên thứ ba quản lý từ xa thường không cập nhật bản vá.

Góc nhìn NTEK

Ở Việt Nam, chuỗi siêu thị, kho lạnh thực phẩm, dược phẩm, bệnh viện và nhà máy cũng dùng nhiều bộ điều khiển nhiệt độ, BMS và thiết bị IoT có giao diện web để giám sát từ xa. Bài học rõ ràng: không đưa giao diện quản trị thiết bị trực tiếp ra Internet, đổi ngay mật khẩu mặc định, tách thiết bị vận hành sang phân vùng mạng riêng, truy cập từ xa qua VPN có xác thực đa yếu tố. Cần lập danh mục toàn bộ thiết bị IoT đang chạy, theo dõi bản vá của nhà sản xuất và giám sát lưu lượng ra ngoài bất thường, chẳng hạn thiết bị lạnh đột nhiên gửi email.

Nguồn: Help Net Security