資安評等業者 SecurityScorecard 與非營利組織 Ransom-ISAC 近日分別公布「Copeland XWEB PRO」冷凍控制器遭濫用的分析。這款原由 Dixell 製造的控制器，可讓技術人員遠端調整超市與冷儲設施的冷凍設備。SecurityScorecard 發現，暴露在網際網路上的控制器疑似被納入垃圾郵件殭屍網路（botnet），並充當代理出口。Ransom-ISAC 則記錄一起設定遭竄改的事件，攻擊者只靠出廠預設帳密就取得管理員權限。
九個異常 IP 中，三個是冷凍控制器
SecurityScorecard 的 STRIKE 威脅情報團隊，先從網際網路掃描資料篩出真正的 XWEB 控制器，再分析其對外流量。9 個自 11 月 2 日起出現的 IP 位址只對外寄信、不收信，不符合正常郵件伺服器的行為，其中 3 個經 TLS 憑證或網頁介面標題，確認為 XWEB 控制器。
最活躍的 3 個節點約有 47% 的郵件目標重疊，1,041 個目標中有 508 個被兩個以上節點寄信。團隊認為這顯示背後可能是單一協調的操作者，但僅發現薄弱的共用指揮與控制（C2）基礎設施跡象。
另有兩台控制器用途不同。位於納米比亞的一台作為通道閘道，承載擷取資料中 71% 的流量。位於千里達及托巴哥的一台，17 小時內連到 10,643 個不同主機，行為類似住宅代理（residential proxy）出口。
SecurityScorecard 認為，攻擊者最可能利用 CVE-2026-25085 入侵。這是控制器登入檢查的缺陷，可讓未經驗證的使用者繞過密碼提示，屬於 Claroty Team82 通報美國網路安全暨基礎設施安全局（CISA）的 23 個弱點之一，CISA 已於 2 月發布公告。
該公司指出，控制器是一台沒有資安團隊監看的小型 Linux 電腦，可能被濫用數週甚至數月而不被發現。SecurityScorecard 對研究的信心為低到中，並提醒應把這些 IP 視為受害設備，而非攻擊者資產。
預設帳密：743 項設定遭竄改
Ransom-ISAC 分析的是另一起事件，標的為某商用冷凍場域（名稱未公開）的 XWEB Pro 控制器。11 月 2 日凌晨，兩個分別來自澳洲與荷蘭 IP 位址的管理員工作階段，先讀取 31 台設備的設定，再做出 743 項變更。內容包括把設定值（setpoint）調到 110°C 與 150°C，並下達靜音警報、鎖定本機按鍵的指令。
Ransom-ISAC 的 Massimo Giaimo 在報告中指出，攻擊者不需要弱點，只需要預設帳密，因為該控制器仍使用出廠的管理員登入。事件日誌無法顯示設備實際達到的溫度，也無法確認是否造成食品損失。
Ransom-ISAC 警告，這類攻擊利用正常控制功能造成實體損害，沒有勒索要求，也沒有已知惡意程式。仍有數千台控制器暴露在網際網路上，遠端代管的第三方業者常未安裝必要更新。
與歐洲冷凍系統攻擊的關係尚無定論
兩份報告都未與歐洲近期的攻擊建立連結。法國當局 11 月 9 日指控，伊朗伊斯蘭革命衛隊（IRGC）旗下的 Shahid Kaveh 單位，是 10 月約 700 家法國商店冷凍系統遭破壞的幕後黑手，但報告未涵蓋 11 月初的第二波攻擊。
Ransom-ISAC 分析的事件，與法國血液機構（EFS）三處血庫冷藏室溫度升高發生在同一晚。親俄組織 NoName057(16) 與 Z-Pentest 曾於 11 月 4 日聲稱發動超市攻擊，調查人員尚未證實。Ransom-ISAC 表示，沒有證據把該事件與這些組織或法國攻擊連結，設定值同樣被推高到 110°C，但任何擁有管理權限的人都做得到。
防護建議
- 更換控制器出廠預設的管理員帳密
- 確認控制器是否直接暴露在網際網路上
- 修補 CVE-2026-25085 等已公開弱點
- 與第三方遠端維運業者釐清更新與存取管理責任
- 若設備出現異常外寄郵件或大量對外連線，視為受害設備處理
本文參考 Help Net Security、The Record 等外媒報導編譯。