sikkerhetsproblemer funnet i internett-aktivert medisinsk utstyr og biler de siste årene har reist mye bevissthet om den offentlige sikkerhetsrisikoen for tilkoblede enheter. Men det er ikke bare livreddende redskaper og raske kjøretøy som utgjør potensiell skade.En gruppe sikkerhetsforskere har funnet sårbarheter i internett-tilkoblede gjennomkjøringsbiler som ville la hackere eksternt kapre systemene for å fysisk angripe kjøretøy og deres beboere. Sårbarhetene ville la en angriper åpne og lukke buktdørene på en bilvask for å fange kjøretøy inne i kammeret, eller slå dem med dørene, skade dem og muligens skade beboere.

«Vi tror at dette er den første utnyttelsen av en tilkoblet enhet som får enheten til å fysisk angripe noen,» Fortalte Billy Rios, grunnleggeren av Whitescope security, Hovedkort. Rios gjennomførte forskningen med Jonathan Butts AV QED Secure Solutions. De planlegger å diskutere sine funn denne uken På Black Hat security conference I Las Vegas.Rios, som arbeider til tider alene og med kolleger, har utsatt mange sikkerhetsproblemer gjennom årene i legemiddelinfusjonspumper som leverer medisin til sykehuspasienter; i røntgenmaskiner på flyplasser designet for å oppdage våpen; og i byggesystemer som styrer elektroniske dørlåser, alarmsystemer, lys, heiser og videoovervåkningskameraer.

en angriper kan sende en øyeblikkelig kommando for å lukke en eller begge dørene for å fange kjøretøyet inne, eller åpne og lukke en dør gjentatte ganger for å slå kjøretøyet et antall ganger som en sjåfør prøver å flykte.

denne gangen hans fokus var PÅ PDQ LaserWash, en helautomatisk, børsteløs, berøringsfri bilvask system som sprayer vann og voks gjennom en mekanisk arm som beveger seg rundt et kjøretøy. PDQ bilvask er populære OVER HELE USA fordi de ikke krever deltagere å operere. Mange av fasilitetene har buktdører ved inngangen og utgangen som kan programmeres til automatisk å åpne og lukke ved starten og slutten av en dag, og en berøringsskjermmeny som lar sjåførene velge sin rengjøringspakke uten å samhandle med noen arbeidere.

systemene kjører På Windows CE og har en innebygd webserver som lar teknikere konfigurere og overvåke dem over internett. Og her ligger problemet.

Rios sier han ble interessert i bilvask etter å ha hørt fra en venn om en ulykke som skjedde år siden da teknikere feilkonfigurert en på en måte som forårsaket den mekaniske armen for å slå en minivan og slukke familien inne med vann. Sjåføren skadet bilen og bilvask som han akselerert raskt å unnslippe.

en vellykket tur gjennom bilvask. Forskere kunne ikke få tillatelse til å publisere video av hack fra bilvask eiere.Rios og McCorkle undersøkte PDQ-programvaren for to år siden og presenterte sine funn om sårbarheter på Kaspersky Security Summit I Mexico i 2015. Selv om de trodde sårbarhetene ville tillate dem å kapre et system, var de ikke i stand til å teste teorien mot en faktisk bilvask til i år da et anlegg I Washington-staten ble enige om å samarbeide, ved hjelp av forskernes egen lastebil som offer.

SELV OM PDQ-systemene krever et brukernavn og passord for å få tilgang til dem på nettet, er standardpassordet lett å gjette, sa forskerne. De fant også et sårbarhet i implementeringen av godkjenningsprosessen, noe som gjør det mulig å omgå det. Ikke ALLE PDQ-systemer er online, men forskerne fant mer enn 150 som var, ved Hjelp Av shodan-søkemotoren som søker etter enheter som er koblet til internett, for eksempel webkameraer, skrivere, industrielle kontrollsystemer og i dette tilfellet bilvask.

de kunne også manipulere den mekaniske armen for å treffe kjøretøyet eller spy vann kontinuerlig, noe som gjør det vanskelig for en fanget passasjer å gå ut av bilen.

de skrev et helautomatisk angrepsskript som omgår autentisering, overvåker når et kjøretøy gjør seg klar til å gå ut av vaskekammeret og få utgangsdøren til å slå kjøretøyet på riktig tidspunkt. Alt en angriper må gjøre er å velge IP-adressen for bilvask de vil angripe, og deretter starte skriptet. Bilvaskens programvare sporer hvor en bilvask er i sin syklus, noe som gjør det enkelt å vite når vasken er i ferd med å ende og et kjøretøy for å gå ut. En angriper kan sende en øyeblikkelig kommando for å lukke en eller begge dørene for å fange kjøretøyet inne, eller åpne og lukke en dør gjentatte ganger for å slå kjøretøyet flere ganger som en sjåfør prøver å flykte.selv om infrarøde sensorer oppdager når noe er i en dørs bane for å forhindre at dette skjer, kunne forskerne få systemet til å ignorere sensorene. De kan også manipulere den mekaniske armen for å treffe bilen eller spy vann kontinuerlig, noe som gjør det vanskelig for en fanget beboer å gå ut av bilen. De prøvde ikke dette under sine live tester, for å unngå å skade armen.

En programvarebasert sikkerhetsmekanisme hindrer armen fra å treffe et kjøretøy normalt, men de var i stand til å deaktivere dette, også.»Hvis du bare stoler på programvaresikkerhet, kommer det ikke til å fungere hvis det er en utnyttelse i spill,» Sa Rios i et intervju. «Det eneste som kommer til å fungere er maskinvare sikkerhetsmekanismer .»

selv om forskerne filmet testene med en mobiltelefon, vil bilvaskeieren ikke la dem publisere videoen.

dette er ikke første gang noen har kapret et robotikksystem. I Mai viste Forskere Ved Trend Micro hvordan De kunne kalibrere en robotarm som brukes i fabrikker for å endre bevegelsen. Men bilvaskangrepet har » bredere potensiell innvirkning på massene,» Sa Rios. «Det er faktisk ikke så mange ting … som er i det offentlige rom… og kan slå deg.»

forskerne rapporterte sine funn Til Department Of Homeland Security og leverandøren og slipper en rapport denne uken i forbindelse med Deres Black Hat talk.EN talsmann for PDQ fortalte Hovedkort i en e-post at Det er «klar» Over Black Hat talk og jobber med å undersøke og fikse sikkerhetsproblemer med systemet.»Alle systemer-spesielt internett-tilkoblede-må konfigureres med sikkerhet i tankene,» Skrev Gerald Hanrahan FRA PDQ. «Dette inkluderer å sikre at systemene står bak en nettverksbrannmur, og sikre at alle standardpassord er endret. Vårt tekniske supportteam står klar til å diskutere disse problemene med noen av våre kunder.»

Få seks Av Våre Favoritt Hovedkort historier hver dag ved å registrere deg for vårt nyhetsbrev.