Termostati intelligenti vittime di ransomware

Un numero sempre crescente di apparecchiature, veicoli e dispositivi di uso quotidiano sono ormai connessi ad internet grazie alla capillarità sempre maggiore della Internet delle Cose, con i produttori che dedicano molte risorse ad implementare sempre più funzionalità di ogni singolo dispositivo mentre, a quanto pare, non viene dedicata la stessa attenzione alla sicurezza degli stessi dispositivi. Ne hanno dato ennesima dimostrazione, al DefCon di Las Vegas di quest'anno, due ricercatori di Pen Test Patners , Andrew Tierney e Ken Monroe, che hanno rivelato di aver infettato con un malware un termostato intelligente riuscendo a prenderne il controllo completo: a schermo veniva visualizzato l'avviso che per sbloccarlo si sarebbe dovuto pagare un riscatto di 1 Bitcoin .

Munro non è nuovo a questo tipo di attività di penetration test su dispositivi IoT visto che l'anno scorso ha trovato che un frigorifero intelligente Samsung lasciasse trapelare le password di Gmail . Per il tipo di attacco sviluppato ques'anno si è cavalcata l'onda di paura che i ransomware hanno scatenato negli ultimi mesi cercando anche di dimostrare che la convinzione che non si potesse scrivere un malware di questo tipo capace di colpire apparecchi così poco potenti fosse errata.
Poiché i due ricercatori non hanno agito con intenzioni malevole, non hanno voluto rivelare il nome del produttore, che riceverà comunque tutte le informazioni necessarie per poter arginare le falle di sicurezza.

Nello specifico il termostato oggetto dell'attacco viene venduto negli Stati Uniti ed è basato su tecnologia ARM con Linux come sistema operativo, ha un ampio display LCD e l'alloggiamento per la scheda SD (per caricare impostazioni personalizzate).
Nella descrizione dei passaggi che hanno portato alla riuscita dell'attacco viene spiegato che: “La nostra intenzione era quella di attirare l'attenzione sul cattivo stato della sicurezza in molti dispositivi IoT domestici. Inoltre per aumentare la consapevolezza nella comunità di ricerca sulla sicurezza che non è tutta una questione di hacking del software. l'hacking hardware è spesso un vettore più facile. Semplici controlli di sicurezza avrebbero fermato questo lavoro di hack, tuttavia non erano presenti”. In particolare l'ultima affermazione è riferita alla porta JTAG presente sul termostato e che potrebbe permettere di avere un accesso di tipo riservato al software interno del dispositivo.

Il risultato finale è stato l'accesso alla modifica del firmware, agendo con tutto il necessario per far funzionare il ransomware.
“Si riscalda a 99 gradi, e si chiede un PIN di sblocco che cambia ogni 30 secondi”, ha spiegato Tierney: “Gli abbiamo messo su una botnet IRC, l'eseguibile agisce nel canale dedicato e usa l'indirizzo MAC come identificatore, e serve pagare un Bitcoin per sbloccarlo.”

Nelle conclusioni finali che traggono i due ricercatori ci sono dei validi suggerimenti che sono sicuramente da tenere ben presenti: “Niente di tutto questo dovrebbe essere possibile. La sicurezza del semplice firmware dovrebbe evitare che ciò accada, come crittografare il firmware per evitare che venga spacchettato e analizzato e firmare il firmware per evitare che venga modificato, verificando la firma nella fase di boot”. Poi, semplici principi che si applicano alla maggior parte dei settori della sicurezza: mai fidarsi degli input dell'utente, anche per i nomi dei file; garantire privilegio minimo e non eseguire tutto come root; adottare dei semplici firewall per evitare connessioni indesiderate o non intenzionali e interblocchi hardware che fermino ripetuti cambi di accensione e spegnimento e concomitante riscadamento e raffreddamento; rimuovere le informazioni di debug, così da complicare la vita di chi voglia eseguire il reverse engineering.

Tierney ammonisce: “Voi non siete solo gli acquirenti di un dispositivo IoT, state invitando la gente sulla vostra rete senza avere idea di cosa queste cose possano fare”. Come ogni dispositivo connesso, avvertono i ricercatori, “potrebbe facilmente creare un punto di smistamento che potrebbe portare ad una compromissione di dati personali.”
Si spera quindi che il tentativo di Tierney e Monroe di far comprendere che anche oggetti “intelligenti” IoT possono essere vittime di attacchi ransomware possa alzare l'asticella dell'attenzione sulla sicurezza di dispositivi che saranno di uso comune, domestici, magari accesi costantemente e quindi costantemente veicolo di attacchi malevoli.

Luca Algieri

Fonte immagini: 1, 2, 3, 4