Controladores de refrigeração Copeland XWEB PRO expostos são sequestrados para enviar spam e operar como proxy

A SecurityScorecard identificou controladores Copeland XWEB PRO (originalmente da Dixell) expostos à internet sendo usados como infraestrutura de uma suspeita botnet de spam e de serviços de proxy. Esses equipamentos comandam os racks de freezers e chillers de supermercados e permitem que técnicos vejam temperaturas e mudem configurações remotamente. O time STRIKE partiu de dados de varredura, filtrou os XWEB genuínos e analisou o tráfego dos painéis. Nove IPs, vistos pela primeira vez em 2 de novembro, enviavam e-mail sem receber nenhum, comportamento que não condiz com um servidor de correio legítimo. Três deles eram XWEB, confirmados por certificados TLS ou pelo título da interface web.

Os três nós mais ativos compartilharam cerca de 47% dos alvos de e-mail, e 508 dos 1.041 alvos foram atingidos por dois ou mais nós, o que sugere um único operador. Outros dois controladores tinham outros usos: um, na Namíbia, funcionava como gateway de túnel e carregou 71% do tráfego capturado; outro, em Trinidad e Tobago, falou com 10.643 hosts em 17 horas, como saída de proxy residencial. O vetor mais provável é a CVE-2026-25085, falha na checagem de login que deixa um usuário não autenticado passar da tela de senha. Ela está entre as 23 vulnerabilidades que a Claroty Team82 reportou à CISA, que publicou um aviso em fevereiro. A confiança da análise é baixa a média: o comportamento dos dispositivos e a coordenação de SMTP estão bem sustentados, mas a atribuição completa e o quadro de C2 seguem em investigação. A recomendação é tratar esses IPs como vítimas ou infraestrutura abusada, não como ativos dos atacantes.

Um dia depois, a Ransom-ISAC descreveu outro caso, num site de refrigeração comercial não identificado. Em 2 de novembro, duas sessões de Administrator, vindas da Austrália e dos Países Baixos, leram as configurações de 31 dispositivos e fizeram 743 alterações, incluindo setpoints de 110°C e 150°C, silenciamento de alarmes e bloqueio de teclados locais. Nesse caso não houve exploração de falha: o controlador ainda usava a credencial padrão de fábrica. A SecurityScorecard não ligou suas descobertas da botnet aos ataques na França ou no resto da Europa, e a Ransom-ISAC diz não ter evidência que conecte seu incidente aos grupos que reivindicaram os ataques.

Em 13 de outubro de 2026, o CEVIU noticiou "Ciberataque paralisa refrigeradores em supermercados franceses e causa perda de alimentos", e em 14 de outubro de 2026, "Ataque cibernético prejudica supermercados europeus e danifica cadeia de frio", que citava controladores da Danfoss. Em 4 de novembro de 2026, o CEVIU publicou "Suspeita de ciberataques estraga alimentos em supermercados europeus ao desregular refrigeração", com mais de 40 supermercados em sete países. Até ali, o foco era o dano físico à cadeia de frio. Agora entra uma segunda frente: os mesmos tipos de equipamento expostos aparecem também como infraestrutura de spam e proxy, e o nome Copeland XWEB PRO ganha destaque. Segundo a fonte, não há vínculo comprovado entre a botnet e os ataques europeus.

Para quem opera ou terceiriza a manutenção de refrigeração industrial, a leitura é que o risco não se limita a alimento estragado. Um controlador exposto, sem log e sem monitoramento, pode servir a criminosos por semanas sem ninguém notar. Para times de segurança, vale checar exposição à internet, trocar credenciais padrão e conferir se o fornecedor remoto aplica as atualizações da CVE-2026-25085.