Network Attached Storage (NAS), Smart TVs, roteadores, equipamentos Blue-ray, entre outros estão vulneráveis a ciberataques, alerta a Kaspersky Lab.
Pesquisa experimental realizada pelo analista de segurança, David Jacoby, em sua própria casa, encontrou uma série de problemas de segurança em dois modelos de NAS de diferentes marcas, uma Smart TV, um recebedor de satélite e uma impressora conectada.
Em linha com sua política de divulgação responsável, a Kaspersky Lab não divulga os nomes dos fornecedores cujos produtos foram objeto da investigação até que um patch de segurança que acabe com as vulnerabilidades seja liberado. Mas ressalta que todos os fornecedores foram informados sobre a existência das vulnerabilidades.
As vulnerabilidades mais graves foram encontradas nos Network Attached Storage. Várias delas (foram 14 no total) permitem que um invasor execute comandos remotamente, com os mais altos privilégios administrativos.
Os dispositivos testados também tinham senhas padrão fracas, lotes de arquivos de configuração com permissões erradas e continham senhas em texto simples. Em particular, a senha do administrador padrão para um dos dispositivo continha apenas um dígito. Outro dispositivo dividiu o arquivo de configuração inteiro com senhas criptografadas para todos na rede.
Usando uma das vulnerabilidades, o pesquisador da Kaspersky Lab foi capaz de fazer o upload de um arquivo em uma área de memória inacessível para o usuário comum. Se esse arquivo fosse um malware, o dispositivo comprometido poderia se tornar uma fonte de infecção para outros dispositivos conectados nestes NAS - um PC em casa, por exemplo - e até mesmo servir como um Bot DDoS em uma botnet.
Além disso, como essa vulnerabilidade permitiu que o arquivo fosse carregado em uma parte especial do sistema de arquivos do dispositivo, a única maneira de eliminá-lo era usando a mesma vulnerabilidade. Obviamente, esta não é uma tarefa trivial, mesmo para um técnico, muito menos para os proprietários de equipamentos entretenimento doméstico semelhantes.
Man in the middle via Smart TV
Ao investigar o nível de segurança de sua própria Smart TV, o pesquisador da Kaspersky Lab descobriu que nenhuma criptografia havia sido usada na comunicação entre a TV e o servidor do fornecedor da TV. O que pode abrir o caminho para ataques. Seria possível, por exemplo, levar o usuário a transferir dinheiro para o fraudador ao tentar comprar conteúdo via TB.
Como prova de conceito, o pesquisador foi capaz de substituir um ícone da interface gráfica da Smart TV com uma imagem. Normalmente os widgets e miniaturas são baixados dos servidores do fornecedor da TV e devido à falta de conexão criptografada a informação poderia ser modificada por um terceiro.
O pesquisador também descobriu que a Smart TV é capaz de executar o código Java que, em combinação com a capacidade de interceptar a troca de tráfego entre a TV e a Internet, pode resultar em ataques maliciosos que partem de exploração.
Funções de espionagem escondidas no roteador
O roteador DSL usado para fornecer acesso à Internet sem fio para todos os outros dispositivos domésticos continha várias funções perigosas escondidas de seu dono. Segundo o pesquisador, alguma dessas funções escondidas poderia dar ao ISP (provedor de Internet) acesso remoto a qualquer dispositivo em uma rede privada.
O mais importante é que, de acordo com os resultados da pesquisa, seções da interface do roteador web chamado "Webcam", "Configuração especializada em Telefonia", "Controle de Acesso", "WAN-Sensing" e "Update" são "invisíveis" e não ajustáveis para o dono do dispositivo. Só podem ser acessadas através da exploração de uma vulnerabilidade bastante genérica, que torna possível alterar entre as seções da interface (que são basicamente páginas da web, cada uma com seu endereço alfanumérico) por força bruta.
Originalmente estas funções foram implementadas para a conveniência do proprietário do dispositivo: a função de acesso remoto torna mais fácil e rápido para o provedor de internet resolver possíveis problemas técnicos no aparelho, mas a conveniência poderia se transformar em um risco se os controles caírem em mãos erradas.
"Indivíduos e empresas precisam entender os riscos de segurança em torno de dispositivos conectados. Nós também precisamos ter em mente que nossa informação não é segura apenas porque temos uma senha forte, e que há um monte de coisas que não podemos controlar. Levei menos de 20 minutos para localizar e verificar vulnerabilidades extremamente graves em um dispositivo que parece seguro e até mesmo tem referências à segurança em seu nome.", afirma David Jacoby.
"Como é que uma pesquisa semelhante acabaria se fosse realizada em uma escala muito mais ampla do que apenas a minha sala de estar", questiona.
Na opinião do pesquisador, esta é apenas uma das muitas questões que precisam ser abordadas por fornecedores de dispositivos, pela comunidade de segurança e por usuários de tais aparelhos, de forma colaborativa. Outra questão importante é o ciclo de vida dos dispositivos. "Como me foi informado em conversas com fornecedores, algumas dessas empresas não desenvolverão uma correção de segurança para os dispositivos vulneráveis que já estão ultrapassados. Geralmente, para essas empresas, o ciclo de vida desses aparelhos é de um ou dois anos, enquanto na vida real esse período é muito maior. Independentemente da forma como você olha para ela, não é uma política muito justa", alerta Jacoby.
Como permanecer seguro em um mundo de dispositivos conectados
- 1 - Torne a vida do hacker mais difícil: todos os seus dispositivos devem estar atualizados com todos os últimos updates de segurança e firmware. Isso minimizará o risco de explorar vulnerabilidades conhecidas.
- 2 - Certifique-se de que o nome de usuário e a senha padrão esteja alterada - esta é a primeira coisa que um criminoso tentará mudar ao tentar comprometer o seu dispositivo.
- 3 - A maioria dos roteadores e switches em casa tem a opção de configurar sua própria rede para cada dispositivo e também a possibilidade de restringir o acesso ao aparelho - com a ajuda de vários DMZs diferentes (um segmento de rede separado para sistemas com um maior risco de comprometimento)/ VLANs (um mecanismo para alcançar a separação lógica entre as diferentes redes lógicas na mesma rede física). Por exemplo, se você tem uma TV, você pode querer restringir o acesso a esta TV e só permitir um recurso específico dentro de sua rede. Não há muita razão para a sua impressora estar conectada ao seu televisor.
O texto completo do estudo "Internet das coisas: Como eu hackeei Minha Casa' está disponível em Securelist.com.
Referência: IDG NOW
