La cyberattaque ayant visé dans la nuit de dimanche à lundi de nombreux magasins de distribution alimentaire en France ne s'est pas arrêtée là. Et elle n'est pas limitée aux établissements s'appuyant sur des équipements Danfoss.

Plusieurs enseignes ont fait face à des intrusions à distance visant les outils de contrôle des systèmes de réfrigération utilisés dans des supermarchés.

Les attaquants ont manipulé les systèmes de contrôle afin de faire monter les températures, conduisant les magasins concernés à jeter leur marchandises concernés par une rupture de la chaîne du froid.

Si lundi, le point commun entre toutes les victimes semblait être leur recours aux équipements du constructeur danois Danfoss, d'autres fournisseurs semblent aujourd'hui visés. Dans une mise à jour de son alerte initiale, le CERT-FR précise avoir connaissance de compromissions affectant également les logiciels "Copeland xweb et Dixell xweb", deux interfaces de contrôles développées et utilisées par des concurrents de Danfoss.

Dans le Tarn, un établissement Leclerc a ainsi fait face mardi matin à une attaque informatique similaire, alors que son établissement était équipé par le fabricant Dixell précise un article de France 3 régions. 

Des incidents similaires étaient aussi signalés sur LinkedIn par plusieurs frigoristes, qui mentionnent des attaques en cours sur les systèmes de supervision Dixell ce matin. En commentaire, le dirigeant de Dixell France expliquait que ses équipes étaient en train "d'étudier les retours de frigoristes" à ce sujet.

Le parquet de Paris a annoncé hier soir l'ouverture d'une enquête sur ces intrusions. Selon Intermarché, plusieurs centaines de ses établissements seraient affectés. D'autres spécialistes de la grande distribution, comme les magasins Leclerc sont touchés. Des enseignes appartenant à Carrefour ou Monoprix seraient également affectés, selon le site spécialisé jebosseengrandedistribution.fr. 

Hors de France, la multinationale néerlandaise Ahold Delaize annonçait hier soir avoir pris des "mesures de précaution face à un incident de cybersécurité" ayant conduit à des perturbations dans plusieurs magasins de son réseau aux États Unis, en Belgique et au Pays Bas.

La société ne précise toutefois pas si cet incident est lié à la campagne de piratage ayant affecté les établissements français.

La mesure de sécurité d'urgence, préconisée par l'Anssi comme par les fournisseurs, consiste à déconnecter les interfaces exposées sur internet, et à restaurer un accès en le protégeant via un VPN. Dans le cas d'une compromission, le CERT-FR recommande de réinitialiser l'appareil mais rappelle dans tous les cas la nécessité d'appliquer les mises à jour et les correctifs fournis par le constructeur avant de reconnecter l'appareil au réseau.

Les équipements concernés sont souvent exposés sur internet au travers de consoles ou d'interfaces, afin de permettre leur contrôle à distance par les opérateurs. Dans un post de blog, le moteur de recherche Onyphe expliquait avoir identifié "plusieurs milliers d'interface Storeview accessibles en ligne." Storeview est la solution proposée par Danfoss pour le contrôle à distance de ses automates. La société note que sur l'ensemble des instances identifiées, un peu moins de la moitié apparaissent comme basées en France.

Plusieurs vulnérabilités connues affectent par exemple les contrôleurs web Danfoss. Celles-ci, signalées cet été par la société Claroty, permettraient de mettre en œuvre un scénario comparable à celui ayant visé les chaînes de distribution françaises dans la nuit de dimanche à lundi. Mais pour l'instant, le vecteur exact des attaques exploitées dans la campagne n'a  pas encore été déterminé.