🔍 Contexte

Publié le 5 novembre 2026 par Patrick Burns et Gilad Friedenriech Maizles (SecurityScorecard STRIKE Team), cet article s’inscrit dans un contexte d’attaques récentes contre des systèmes de réfrigération de supermarchés en Europe (France, Belgique, Suède, Finlande, Irlande, Luxembourg, Estonie), où des hackers ont fait monter les températures jusqu’à 50°C.

🎯 Découverte principale

L’équipe STRIKE a identifié des contrôleurs de réfrigération Dixell/Copeland XWEB PRO exposés sur internet et détournés en infrastructure d’abus (proxy et envoi de spam). L’activité a été détectée pour la première fois le 2 novembre 2026 via des données de flux réseau montrant du trafic SMTP sortant depuis des panneaux XWEB exposés.

📊 Indicateurs clés du botnet

  • 9 adresses IP composent le cluster SMTP suspecté
  • 3 d’entre elles sont confirmées comme étant de vrais contrôleurs XWEB
  • 508 cibles mail sur 1 041 ont été touchées par au moins deux nœuds du botnet
  • Les 3 nœuds les plus actifs partagent environ 47% de leurs listes de cibles (signal de coordination)
  • Trafic uniquement sortant (aucun mail entrant), caractéristique d’un botnet spam

🔓 Vulnérabilité exploitée

  • CVE-2026-25085 : bypass de pré-authentification affectant le firmware des contrôleurs XWEB PRO
  • L’advisory XWEB couvre au total 23 CVEs
  • 6 contrôleurs XWEB confirmés exposant leur interface web sur les ports 8015 et 443 avec un firmware vulnérable
  • Les appareils tournent sous Linux embarqué, sans équipe de sécurité, sans journalisation ni surveillance active

🧪 Méthode de confirmation

STRIKE a confirmé l’authenticité des appareils via une lecture passive du certificat TLS et du titre de page (Dixell, XWEB PRO, XWEB EVO), excluant toute hypothèse de panneau usurpé. Les données proviennent de l’outil Driftnet (scan internet de SecurityScorecard).

⚠️ Double risque identifié

  1. Menace sur la chaîne du froid : manipulation possible des températures de réfrigération
  2. Abus d’infrastructure : utilisation des appareils comme relais spam / proxy sortant

📌 Portée de l’article

Il s’agit d’une publication de recherche CTI issue d’une investigation en cours. L’objectif principal est de partager des IOCs (classés confiance faible à moyenne) pour permettre aux défenseurs d’agir. STRIKE précise explicitement ne pas avoir établi de lien entre cette activité et les attaques d’octobre-novembre 2026 en Europe.

🧠 TTPs et IOCs détectés

TTP

  • T1190 — Exploit Public-Facing Application (Initial Access)
  • T1496 — Resource Hijacking (Impact)
  • T1571 — Non-Standard Port (Command and Control)
  • T1583.005 — Acquire Infrastructure: Botnet (Resource Development)
  • T1562.001 — Impair Defenses: Disable or Modify Tools (Defense Evasion)

IOC

  • CVEs : CVE-2026-25085 — NVD · CIRCL

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 10 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

🟡 Indice de vérification factuelle : 51/100 (moyenne)

  • ⬜ securityscorecard.com — source non référencée (0pts)
  • ✅ 7521 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 1 IOC(s) (6pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ✅ date extraite du HTML source (10pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://securityscorecard.com/blog/a-dish-served-lukewarm-the-refrigerator-botnet/