Durante a semana, várias notícias foram levantadas sobre o tópico “o que ainda há de errado com a IoT” (edições anteriores:
1 ,
2 ,
3 ). Foram detectadas vulnerabilidades na interface da web para rastreadores GPS, em câmeras de vídeo em rede D-Link e dispositivos similares de diferentes fabricantes da China, e até mesmo em painéis LCD com conexão sem fio, que geralmente são usados para apresentações em escritórios.
Vamos começar com o problema que afeta o número máximo de dispositivos: filmadoras, campainhas com controle remoto e monitores de bebês de muitos fabricantes da China. O pesquisador Paul Marrapeze descobriu (
notícias , breve
relatório ) que o acesso a esses dispositivos pode ser obtido sem autorização, classificando-se os números de série, que são compilados usando um algoritmo simples.
Todos os dispositivos compartilham um aplicativo de controle remoto comum conhecido como iLnkP2P. Na primeira conexão, o proprietário do dispositivo IoT precisa digitalizar o código de barras impresso no gabinete ou inserir manualmente o número de série. Dessa forma, os invasores podem verificar facilmente todo o intervalo de números de série, encontrar dispositivos em funcionamento e acessá-los usando o login e a senha padrão.
Mesmo que o proprietário altere a senha, em alguns casos ela poderá ser interceptada, pois alguns dos dispositivos vulneráveis não usam criptografia de dados. Segundo o pesquisador, a criptografia de dados é reivindicada para alguns dispositivos, embora na verdade as informações sejam transmitidas em texto não criptografado. No total, 15 tipos de dispositivos foram identificados, pelo menos, seis fabricantes diferentes. É improvável que uma lista completa de dispositivos vulneráveis seja compilada; é mais fácil identificá-los pelo nome do aplicativo e parte do número de série.
O desenvolvedor do aplicativo não respondeu às solicitações do pesquisador e é improvável que ele consiga fechar completamente essa vulnerabilidade: ele precisará interromper o mecanismo de autorização para novos dispositivos. Além disso, o site do desenvolvedor do software parece estar invadido, existe um script que redireciona os visitantes para o parque infantil chinês. Somente o bloqueio da transferência de dados pela porta UDP 32100, através da qual os dispositivos acessam a Internet, ajudará.
O autor de mais um "estudo" tem problemas claros com uma abordagem ética para encontrar vulnerabilidades. Em vez de notificar o fornecedor, um hacker chamado L&M invadiu dezenas de milhares de perfis de serviços de geolocalização e vazou informações para a mídia (
notícias ,
artigo original na placa-mãe). Este é um serviço da web para os rastreadores GPS ProTrack e iTrack.
Esses rastreadores geralmente são instalados em carros e permitem rastrear movimentos remotamente. Em alguns casos, a funcionalidade avançada é possível, como iniciar e parar o mecanismo. Para acessar dados e controlar aplicativos para smartphones, são utilizados. Ao explorar aplicativos, a L&M descobriu que, por padrão, os clientes de serviço recebem a senha 123456 e nem todo mundo a altera.
Como resultado, tornou-se possível acessar dados sobre a localização do dispositivo, o nome real do cliente e, para alguns dispositivos, foi possível desligar remotamente o motor se o carro estiver parado ou em movimento a uma velocidade de até 20 quilômetros por hora. A placa-mãe conseguiu entrar em contato com os quatro proprietários dos dispositivos e confirmar a autenticidade dos dados recebidos sem autorização. Uma vulnerabilidade interessante e potencialmente perigosa, mas, de qualquer forma, os estudos de segurança são realizados de maneira um pouco diferente.
Adicione o estudo da ESET (
notícias ,
relatório da empresa) sobre a vulnerabilidade nas câmeras IP D-Link DCS-2132L à lista de problemas de IoT. Especialistas descobriram que uma parte significativa dos dados entre a câmera e o aplicativo de controle é transmitida sem criptografia. Isso torna possível interceptar dados de vídeo, mas apenas com um script Man-In-The-Middle ou com acesso a uma rede local. Neste último caso, é possível substituir o firmware do dispositivo.
Por fim, os pesquisadores da Tenable Security descobriram (
notícias ,
relatório ) 15 vulnerabilidades em telas sem fio populares de vários fabricantes, incluindo Crestron AirMedia e Barco wePresent. Todos os monitores afetados usam (quase) o mesmo código para conectar computadores sem fio. Esses dispositivos, em primeiro lugar, não precisam de fios para se conectar a um computador e, em segundo lugar, podem ser controlados pela interface da web. As vulnerabilidades descobertas ao examinar o dispositivo Crestron AM-100 permitem acesso total ao monitor sem fio.
Esse problema é interessante no contexto do cenário de utilização desses painéis: eles são instalados em escritórios, podem ter acesso à rede local da empresa e, ao mesmo tempo, acesso simplificado ao próprio painel para convidados. Configurações imprecisas do monitor podem causar sérias violações na proteção de uma rede de computadores. Segundo os pesquisadores, as vulnerabilidades foram parcialmente cobertas por uma atualização de software.
Isenção de responsabilidade: as opiniões expressas neste resumo nem sempre coincidem com a posição oficial da Kaspersky Lab. Caros editores, geralmente recomendam tratar qualquer opinião com ceticismo saudável.