🗓️ Contexte

Publié le 6 novembre 2026 par Ransom-ISAC (ransom-isac.org), cet article constitue un rapport d’incident DFIR détaillant la compromission d’un contrôleur de réfrigération superviseur Copeland XWEB Pro version 1.9.0 dans un site commercial, survenue dans la nuit du 1er au 2 novembre 2026. L’analyse est basée sur le journal d’événements fourni par le contrôleur affecté.

🎯 Vecteur d’accès et contexte de vulnérabilité

Le contrôleur était directement exposé sur internet via une adresse IP publique. L’accès a été obtenu grâce aux identifiants administrateur par défaut, sans exploitation de vulnérabilité technique. La version 1.9.0 est pourtant concernée par deux CVE critiques :

  • CVE-2026-21718 (CVSS 10.0) : contournement d’authentification permettant l’exécution de code
  • CVE-2026-24663 (CVSS 9.0) : injection de commandes OS sans authentification

Copeland avait publié le firmware 1.13 en février 2026 pour corriger ces failles, et la CISA avait émis l’advisory ICSA-26-057-10 listant les versions jusqu’à 1.12.1 comme affectées.

⏱️ Chronologie de l’attaque

  • ~03:10 : Première session administrateur depuis 198.251.85.67 (Australie, RouterHosting LLC) — début de la reconnaissance
  • 03:10–03:14 : Lecture des paramètres de 31 équipements (vitrines, congélateurs, chambres froides)
  • 03:15–03:21 : 588 écritures de paramètres sur 26 appareils (~1,6 écriture/seconde, cohérent avec un script)
  • ~03:36 : Deuxième session administrateur depuis 85.137.52.63 (Pays-Bas, SOLLUTIUM EU Sp. z o.o.)
  • 03:42–03:44 : 155 écritures supplémentaires sur 5 chambres froides ; commandes de verrouillage clavier, coupure d’alarmes, dégivrage

Total : 743 écritures de paramètres affectant 31 appareils.

💥 Actions malveillantes documentées

  • Modification de consignes de température vers des valeurs extrêmes : 110°C et 150°C
  • Seuils d’alarme poussés à 150 ou 255, paramètres de contrôle réduits à zéro
  • Commandes Alarm Mute : tentatives de silencer les alarmes (une a échoué)
  • Commandes KeyboardLock / Blocco tastiera : verrouillage des claviers locaux sur plusieurs unités
  • Commandes Defrost ON / ActiveDefrost : déclenchement de cycles de dégivrage

🌍 Campagne plus large

Cet incident s’inscrit dans une campagne affectant la réfrigération commerciale européenne :

  • Octobre 2026 : ~700 supermarchés français touchés via contrôleurs Danfoss, Copeland et Dixell
  • Nuit du 1–2 novembre : attaque via le prestataire Coolworld contre le service français du sang (EFS), modifiant des congélateurs de −30°C à 110°C sur 3 sites (aucune perte de produits signalée)
  • 4 novembre : NoName057(16) et Z-Pentest revendiquent les attaques sur les supermarchés (non confirmé par les enquêteurs)
  • ~13 000 systèmes de réfrigération européens sous firmware vulnérable ; 1 173 unités XWEB exposées sur internet

Aucun lien établi entre l’incident analysé et NoName057(16)/Z-Pentest. Aucun ransomware ni malware identifié.

🔍 Limites de l’analyse

Le journal d’événements ne permet pas de déterminer les températures réellement atteintes, si les écritures ont été acceptées, si les équipements de sécurité ont réagi, ni l’identité des opérateurs derrière les adresses IP source.

📄 Nature de l’article

Rapport d’incident DFIR structuré, publié par Ransom-ISAC, visant à documenter techniquement la compromission, publier les IoC et fournir des indicateurs de détection aux opérateurs de systèmes OT/ICS de réfrigération.

🧠 TTPs et IOCs détectés

Acteurs de menace

TTP

  • T1078.001 — Valid Accounts: Default Accounts (Initial Access)
  • T1133 — External Remote Services (Initial Access)
  • T1082 — System Information Discovery (Discovery)
  • T1565.001 — Data Manipulation: Stored Data Manipulation (Impact)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)
  • T1059 — Command and Scripting Interpreter (Execution)

IOC

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 7 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟢 Indice de vérification factuelle : 68/100 (haute)

  • ⬜ ransom-isac.org — source non référencée (0pts)
  • ✅ 26286 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 4 IOCs (IPs/domaines/CVEs) (10pts)
  • ✅ 1/2 IOC(s) confirmé(s) (AbuseIPDB, ThreatFox, VirusTotal) (8pts)
  • ✅ 6 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ✅ acteur(s) identifié(s) : NoName057(16), Z-Pentest (5pts)
  • ✅ 2/2 CVE(s) confirmée(s) (CIRCL) (5pts)

IOCs confirmés externellement :

  • 85.137.52.63 (ip) → VT (3/92 détections)

🔗 Source originale : https://ransom-isac.org/blog/the-copeland-incident/