Hackergruppernas mystiska ”bevis” för frysattackerna sågas

Dagen efter frysattackerna, den 3 november, publicerade hackergruppen NoName057(16) två filer med mejladresser och lösenord på darkweb. Filerna presenterades som bevis för att gruppen står bakom angreppet tillsammans med hackare från Z-Pentest Alliance.

Men SVT:s granskning visar att mejladresserna förekommer i tidigare dataläckor. Listorna kan alltså inte användas som bevis för något nytt intrång, enligt fyra säkerhetsanalytiker SVT kontaktat.

– Materialet i sig bevisar inte att de faktiskt har ändrat några inställningar i kylanläggningarna, säger Sai Molige, hotanalyschef på IT-säkerhetsföretaget Forescout.

SVT Verifierar

– Riktiga bevis hade varit data som bara finns inne i offrens egna system, som interna konfigurationer, butiks-ID:n eller tidsstämplade skärmdumpar, säger Maxime Arquillière, analytiker på IT-säkerhetsföretaget Sekoia.

Onödiga uppgifter

Lösenord behövs inte nödvändigtvis för att att genomföra den här typen av attacker.

– Vissa Danfoss-enheter kan nås helt utan inloggningsuppgifter, säger Maxime Arquillière.

Butikernas kylar styrs av mjukvara från danska företaget Danfoss som haft kända säkerhetsbrister. På grund av dem har hackare kunnat gå runt inloggningen.

Kylsystemen som attackerades var inte på ett säkert nätverk och hade standardlösenord, säger en talesperson för Danfoss till nederländska NOS.

Danfoss ska i oktober ha uppmanat sina nederländska kunder att koppla bort sina system från internet och återansluta via ett säkert nätverk.

”Inga lösensummor”

Hackergruppen ger ingen förklaring i sitt publicerade inlägg till hur inloggningsuppgifterna ska ha använts.

”Ingen skadlig kod, ingen ransomware, inga lösensummor. Helt enkelt korrekt drift av de funktioner som ursprungligen byggts in i utrustningen av tillverkaren” står det om metoden i ett inlägg de delat vidare på Telegram.

Vill inte kommentera

Företaget Danfoss vill inte kommentera uppgifterna.

”Det finns inga tecken på en lyckad attack mot Danfoss interna IT-infrastruktur eller på ett brott mot datasäkerheten. Vi kan inte bekräfta den specifika information som hackergrupperna har publicerat, och vi vill inte spekulera i vem som ligger bakom.” skriver de i ett uttalande till danska DR.

Vad innehåller filerna – och vad vet vi om de ansvariga? Se vår granskning i videon ovan.

Så gjorde vi granskningen

SVT har granskat två filer med e-postadresser och lösenord som NoName57(16) har publicerat på darkweb. Den ena filen påstås innehålla uppgifter till Danfoss-anställda. Den innehåller 171 unika mejladresser med tillhörande lösenord som kopplas till Danfoss webbdomän.

Genom sökningar i databaser som innehåller dataläckor kan vi se att 168 av dessa mejladresser förekommer i äldre läckor. Många förekommer i så kallade ”Stealer logs” som släpptes i februari 2025, där mejladresser och lösenord överensstämmer.

Stealer logs är samlingar av stulna uppgifter, exempelvis lösenord och inloggningsuppgifter, som samlats in från infekterade enheter genom skadlig programvara.

Den andra filen innehåller uppgifter från påstådda kunder till Danfoss. 1 161 unika mejladresser med tillhörande lösenord listas. Av dessa är nio mejladresser kopplade till svenska .se-domäner, som alla förekommer i äldre läckor. Ytterligare slumpmässiga stickprov av mejladresser i filen visar att också dessa finns i äldre läckor.

Hackergrupperna som tagit på sig ansvar

• NoName057(16) är en prorysk cyberkriminell grupp som är känd för överbelastningsattacker (DDoS) mot olika mål i Europa.
• Enligt amerikanska myndigheter och oberoende granskningar leds gruppen delvis av chefer för en rysk statlig myndighet, vilken inrättades av Vladimir Putin i syfte att övervaka unga ryssars aktiviteter på internet.
• Z-Pentest Alliance inriktar sig i sin tur på intrång och påverkansoperationer mot industriella styrsystem och kritisk infrastruktur.
• Enligt amerikanska åtal är gruppen sammankopplad med Cyber Army of Russia Reborn (CARR), som grundades och styrdes av den ryska militära underrättelsetjänsten GRU.
• I en intervju uppger Z-Pentest att de samordnar sina attacker med NoName057(16) utifrån politisk solidaritet och gemensamma mål. Det handlar om att försvaga väst, stoppa Nato och länder som hjälper Ukraina.