Se han encontrado seis fallos de ejecución remota de código previa a la autenticación en el controlador de frigoríficos de supermercados Danfoss AK-SM800A, lo que permite la toma de control remota en aproximadamente una hora, según el investigador de Midnight Blue, Carlo Meijer.

Los fallos son desbordamientos de búfer basados en la pila. Afectan a todas las versiones de firmware hasta la 5.3.2 inclusive, y aún no se han asignado números CVE.

Desde el 11 de octubre, oleadas de ciberataques han golpeado controladores de frigoríficos Danfoss y Copeland expuestos a internet en toda Europa. Los atacantes iniciaron ciclos de descongelación y las pérdidas alcanzaron decenas de millones de euros.

Algunas tiendas incluso sufrieron incendios, según el resumen de incidentes de Wikipedia. Cyber Security News ha seguido la historia desde el principio, incluyendo su informe sobre los 4.980 hosts de Danfoss expuestos.

Todavía se debate quién está detrás de los incidentes. Francia ha culpado a la unidad Shahid Kaveh de Irán, pero SentinelOne afirma que la atribución sigue abierta y que los incidentes podrían no compartir un mismo operador. La agencia francesa ANSSI también señaló que sus primeros hallazgos apuntaban a páginas de administración expuestas y contraseñas débiles, no a los fallos publicados anteriormente.

Meijer no utilizó fuzzing ni IA. Descargó el firmware público, ejecutó el programa principal en un emulador y buscó lugares donde el código llama a strcpy.

Esta antigua función de C copia datos sin comprobar su tamaño, por lo que una entrada larga puede desbordar la memoria. Un manejador web no autenticado falló después de que él enviara una cadena larga de caracteres "A". Encontró al menos cinco errores de este tipo en una pequeña parte del código.

El binario también carecía de "stack canaries" y PIE, dos protecciones básicas que hacen que tales errores sean más difíciles de explotar. El programa se ejecuta como root, por lo que un exploit exitoso otorga el control total.

Toma de control del controlador de frigoríficos de supermercados

Midnight Blue mostró un exploit de root funcional en una versión de firmware más antigua. El equipo está reservando los detalles técnicos mientras trabaja con Danfoss en una divulgación coordinada.

Danfoss añadió el control de sesión en firmwares posteriores, y el modo "estricto" pasó a ser el predeterminado desde la versión 4.0. Este ajuste bloquea la mayor parte de la superficie de ataque web para usuarios no autenticados, y el CERT-FR lo incluye entre sus mitigaciones oficiales.

Aun así, los investigadores encontraron otro desbordamiento en sm_fcgi_app, el componente que verifica los inicios de sesión, y este sigue funcionando en el firmware más reciente con el modo estricto activado.

El equipo también advierte sobre lo que ocurre después de una intrusión. El controlador no utiliza las funciones de arranque seguro del chip i.MX6. Por lo tanto, un atacante con acceso root podría plantar un implante que sobreviva a un restablecimiento de fábrica.

También podrían borrar la memoria flash o cargar un firmware malicioso para dejar el dispositivo inutilizable (brickearlo). Eso obligaría a las tiendas a reemplazar el hardware y los congeladores podrían quedar inactivos durante días. Midnight Blue compara esto con las tácticas de tipo "wiper" vistas en el ataque de diciembre de 2025 contra la red eléctrica polaca.

Los investigadores afirman que parchear un error a la vez es un uso ineficiente del tiempo limitado del personal. Tú, como propietario, deberías localizar cada controlador expuesto, incluidos aquellos detrás de módems 4G de integradores. Luego, deberías trasladar el acceso remoto detrás de una VPN, un APN privado o una lista de IPs permitidas estricta. El CERT-FR advierte que las listas de permitidos son solo una solución a corto plazo.

La exposición sigue siendo alta. Censys detecta cientos de dispositivos Danfoss en línea, además de más de 1.000 unidades de Copeland y Dixell. La cobertura anterior sobre los fallos de Copeland XWEB Pro mostró el mismo patrón. Hasta que estos controladores salgan de la internet abierta, los nuevos errores seguirán poniendo en riesgo los alimentos y las medicinas.