Hackergruppernas mystiska ”bevis” för frysattackerna sågas

Dagen efter frysattackerna, den 3 november, publicerade hackergruppen NoName057(16) två filer med mejladresser och lösenord på darkweb. Filerna presenterades som bevis för att gruppen står bakom angreppet tillsammans med hackare från Z-Pentest Alliance.

Men SVT:s granskning visar att mejladresserna förekommer i tidigare dataläckor. Listorna kan alltså inte användas som bevis för något nytt intrång, enligt fyra säkerhetsanalytiker SVT kontaktat.

– Materialet i sig bevisar inte att de faktiskt har ändrat några inställningar i kylanläggningarna, säger Sai Molige, hotanalyschef på IT-säkerhetsföretaget Forescout.

– Riktiga bevis hade varit data som bara finns inne i offrens egna system, som interna konfigurationer, butiks-ID:n eller tidsstämplade skärmdumpar, säger Maxime Arquillière, analytiker på IT-säkerhetsföretaget Sekoia.

Onödiga uppgifter

Lösenord behövs inte nödvändigtvis för att att genomföra den här typen av attacker.

– Vissa Danfoss-enheter kan nås helt utan inloggningsuppgifter, säger Maxime Arquillière.

Butikernas kylar styrs av mjukvara från danska företaget Danfoss som haft kända säkerhetsbrister. På grund av dem har hackare kunnat gå runt inloggningen.

Kylsystemen som attackerades var inte på ett säkert nätverk och hade standardlösenord, säger en talesperson för Danfoss till nederländska NOS.

Danfoss ska i oktober ha uppmanat sina nederländska kunder att koppla bort sina system från internet och återansluta via ett säkert nätverk.

"Inga lösensummor"

Hackergruppen ger ingen förklaring i sitt publicerade inlägg till hur inloggningsuppgifterna ska ha använts.

"Ingen skadlig kod, ingen ransomware, inga lösensummor. Helt enkelt korrekt drift av de funktioner som ursprungligen byggts in i utrustningen av tillverkaren" står det om metoden i ett inlägg de delat vidare på Telegram.

Vill inte kommentera

Företaget Danfoss vill inte kommentera uppgifterna.

"Det finns inga tecken på en lyckad attack mot Danfoss interna IT-infrastruktur eller på ett brott mot datasäkerheten. Vi kan inte bekräfta den specifika information som hackergrupperna har publicerat, och vi vill inte spekulera i vem som ligger bakom." skriver de i ett uttalande till danska DR.

Vad innehåller filerna – och vad vet vi om de ansvariga? Se vår granskning i videon ovan.