Video dell’attacco di Noname057 e ZPentest ai sistemi SCADA dei sistemi refrigeranti…

Nel filmato diffuso il 4 novembre 2026 sui propri canali Telegram, il collettivo filorussoNoName057(16)e il gruppo alleatoZ-Pentest Alliancemostrano in prima persona la manomissione da remoto dei sistemi di refrigerazione industriale utilizzati nella grande distribuzione europea.Accompagnato da una voce sintetizzata, il video documenta l’accesso diretto alle interfacce web di telecontrollo (DanfosseDixell XWEB): invece di utilizzare codici malevoli complessi, gli operatori navigano nei menu di gestione esattamente come farebbe un tecnico manutentore, alterando i parametri termici dei banchi frigo, disabilitando le soglie di allarme e forzando l’avvio delle resistenze di sbrinamento.L’effetto nel mondo fisico è immediato: la temperatura interna delle celle sale da-20°C / -30°C fino a oltre +40°C / +50°Cnel giro di poche ore, interrompendo la catena del freddo e rendendo inutilizzabili tonnellate di alimenti.

Non c'è stato bisogno di alcun malware, abbiamo semplicemente sfruttato i sistemi integrati

Il bersaglio non è il singolo frigo, ma il gateway di telecontrollo: I supermercati moderni non regolano i banchi frigo uno per uno manualmente, ma usano centraline e server web integrati (in particolare i sistemi Danfoss StoreView / AK-SM e i controller Copeland/Emerson Dixell XWEB). Questi dispositivi raccolgono i dati di tutte le celle frigorifere del punto vendita e offrono un pannello web per permettere alle ditte di manutenzione esterne di monitorare le temperature e intervenire a distanza.

L’errore a monte (Esposizione su Internet): Per comodità operativa, molti di questi impianti sono stati collegati direttamente a Internet con un indirizzo IP pubblico, senza essere protetti da una rete VPN o da un firewall aziendale. Attraverso motori di ricerca per dispositivi connessi (come Shodan o Censys), chiunque può localizzare in pochi secondi centinaia di pannelli Dixell o Danfoss esposti in tutta Europa.

L'ingresso nella centrale:Una volta trovati i pannelli esposti, l'accesso avviene sfruttandocredenziali di defaultmai modificate dagli installatori (es.admin/admin), password deboli condivise tra manutentori, oppure vulnerabilità note su dispositivi con firmware obsoleto o fuori supporto (End-of-Life), già segnalate dai bollettini di sicurezza delCERT-FRfrancese e della stessa Danfoss.

La tecnica dello «Sbrinamento Forzato» (Living off the Land):Una volta dentro il pannello di controllo, non serve alcun virus.Se gli attaccanti spegnessero brutalmente i frigoriferi togliendo l’alimentazione, scatterebbero subito gli allarmi di blackout elettrico.Invece, agiscono in modo più subdolo:

1. Alzano ilsetpoint di temperatura(o falsano i valori di calibrazione delle sonde).

2. Attivano manualmente la modalità Defrost (sbrinamento continuo), che accende le resistenze elettriche interne usate normalmente per sciogliere il ghiaccio.
3. Modificano i parametri di notifica degli allarmi per evitare che il direttore del punto vendita o il reperibile ricevano avvisi durante la notte. Al mattino, la merce è già scongelata e per legge deve essere smaltita.

cheda Tecnica: Vulnerabilità e Architettura dei Sistemi Colpiti

I dispositivi presi di mira nella campagna non sono semplici termostati, ma veri e proprigateway Industrial IoT (IIoT) / SCADA leggeribasati su sistema operativo Linux embedded. Il loro compito è tradurre i segnali provenienti dalla rete informatica (TCP/IP) in comandi comprensibili dai piccoli regolatori elettronici montati su ciascun banco frigo o cella surgelati.

1. Il caso Dixell XWEB (Serie 300D / 500 / Evo)

Molti supermercati utilizzano ancora versioni datate della famigliaXWEB 500e300D, in diversi casi già fuori dal ciclo di supporto ufficiale (End-of-Life).

• Vulnerabilità note (CVE): L'architettura web dei modelli meno recenti si basa su script CGI che presentano storiche criticità di sicurezza (documentate anche negli avvisi CISA/ICS-CERT, come le famiglie di vulnerabilitàCVE-2021-44149 eCVE-2021-44150). Questi difetti permettono ilPath Traversal(lettura di file di configurazione interni senza autenticazione), il furto dei token di sessione o l'esecuzione di comandi arbitrari con privilegi diroot.

• Debolezza strutturale: Anche sugli apparati aggiornati (serie XWEB Evo e Pro), i pannelli vengono frequentemente lasciati accessibili dall’esterno senza limiti ai tentativi di login (rate-limiting), rendendo immediato l’accesso tramite dizionari di password standard utilizzate dalle ditte di assistenza frigorifera.

2. Il caso Danfoss AK-SM (Serie 800 / 800A)

I controllerDanfoss System Managerrappresentano lo standard per le grandi superfici di vendita.

• I bollettini CERT-FR e Danfoss: Già a seguito della prima ondata di attacchi registrata in Francia a metà ottobre 2026 (che ha coinvolto circa 500 punti vendita), il CERT-FR e il team di sicurezza di Danfoss avevano richiamato l’attenzione sulla necessità di aggiornare con urgenza i firmware della serie AK-SM 800A e di dismettere o isolare le vecchie unità AK-SC 255/355.
• Il problema dello «Shadow OT»: In moltissimi casi, i supermercati dispongono di reti informatiche aziendali protette per casse e uffici, ma l’impianto frigorifero viene gestito in appalto da ditte esterne. Per lavorare da remoto senza dover chiedere permessi al reparto IT del supermercato, gli installatori collegano la centralina Danfoss o Dixell a un router 4G/LTE dedicato con IP pubblico statico, esponendo inconsapevolmente l’intero impianto su motori di ricerca come Shodan e Censys.

Dal Pannello Web al Guasto Fisico: I 4 Step del Sabotaggio

Un box esplicativo molto efficace per l’articolo può illustrare la sequenza esatta con cui il comando impartito nel video si trasforma in un danno fisico alla merce:

1. Accesso al Gateway (Livello IP):L'attaccante individua l'indirizzo IP della centralina su Shodan cercando le firme tipiche delle pagine di login (XWEB500,Dixell,StoreViewoAK-SM) ed effettua l'accesso come amministratore o supervisore tecnico.

2. Accecamento del Sistema (Silencing): Prima di toccare le temperature, chi controlla il pannello accede alla sezione Alarm Setup / Notifiche e cancella gli indirizzi email, i numeri SMS o i parametri del server di telesorveglianza. In questo modo il sistema non invia alcun alert notturno al servizio di reperibilità.

3. Iniezione Comandi sul Bus RS485 (Livello Campo):Dal pannello web,l’operatore seleziona tutti i nodi collegati (i singoli banchi surgelati,murali latticini e celle carne) e invia due istruzioni simultanee:

   • Inversione del Setpoint:La temperatura obiettivo viene portata dal valore nominale (es.-22°C) al limite massimo consentito dal regolatore (+40°Co+50°C), spegnendo di fatto i compressori.

   • Forzatura dello Sbrinamento (Manual Defrost): Viene attivato il ciclo di sbrinamento manuale continuo, che accende le resistenze elettriche interne alle batterie evaporanti, trasformando il banco frigo in una stufa.
4. Blocco Locale e Persistenza: Per rallentare il ripristino al mattino, viene attivato via software il blocco tastiera (Keyboard Lock) sui display fisici dei singoli banchi frigo e vengono modificate le password del pannello web, impedendo al personale del negozio di intervenire manualmente senza un reset hardware della centralina.

Le Mitigazioni Raccomandate da ACN e CERT-FR

Per chiudere l'articolo con le contromisure indicate dall'Agenzia per la Cybersicurezza Nazionale (ACN)(intervenuta con un alert specifico dopo i casi italiani di inizio novembre) e dalCERT-FR, puoi riassumere i cinque pilastri di difesa per la GDO:

• Oscuramento immediato da Internet: Nessuna interfaccia di gestione Dixell XWEB o Danfoss AK-SM deve essere raggiungibile direttamente tramite IP pubblico. È fondamentale censire anche eventuali connessioni cellulari (router 4G/5G di terze parti) installate nei locali tecnici.
• Accesso remoto solo tramite VPN con MFA: I manutentori esterni devono poter accedere alle centraline esclusivamente passando attraverso una VPN cifrata protetta da autenticazione a più fattori (MFA), o tramite un Jump Host controllato e registrato.

• Rotazione delle credenziali e Patching:Modificare immediatamente tutte le password di default (inclusi i profiliservice,installer eadmin), disabilitare gli utenti non necessari e installare le ultime release firmware rilasciate da Copeland/Emerson e Danfoss. I modelli fuori supporto (End-of-Life) vanno completamente isolati dalla rete.

• Segmentazione della rete (VLAN OT): Separare fisicamente o logicamente (tramite VLAN dedicate e firewall interni) la rete dei sistemi di refrigerazione e climatizzazione dalla rete IT del punto vendita (casse, bilance, Wi-Fi).
• Sistemi di allarme indipendenti (Out-of-Band): Affiancare alla centralina principale un sistema di monitoraggio termico autonomo (anche una semplice sonda indipendente collegata a un combinatore telefonico separato o a una sirena locale), così che un’eventuale manomissione software della centralina non possa nascondere l’innalzamento reale della temperatura nelle celle.

fonte hackerpunk.it