problemele de securitate găsite în echipamente medicale Internet-ului și mașini în ultimii ani au ridicat o mulțime de conștientizare cu privire la riscurile de siguranță publică a dispozitivelor conectate. Dar nu doar instrumentele de salvare a vieții și vehiculele cu mișcare rapidă prezintă un potențial rău.un grup de cercetători în domeniul securității au descoperit vulnerabilități în spălătoriile de mașini conectate la internet, care ar permite hackerilor să deturneze de la distanță sistemele pentru a ataca fizic vehiculele și ocupanții acestora. Vulnerabilitățile ar permite unui atacator să deschidă și să închidă ușile de la o spălătorie auto pentru a prinde vehiculele din interiorul camerei sau să le lovească cu ușile, deteriorându-le și, eventual, rănind ocupanții.

„credem că acesta este primul exploit al unui dispozitiv conectat care face ca dispozitivul să atace fizic pe cineva”, a declarat Billy Rios, fondatorul Whitescope security, pentru Motherboard. Rios a efectuat cercetarea cu Jonathan Butts de la QED Secure Solutions. Ei intenționează să discute concluziile lor în această săptămână la Conferința de securitate Black Hat din Las Vegas.

Rios, lucrând uneori singur și cu colegii, a expus multe probleme de securitate de-a lungul anilor în pompele de perfuzie cu medicamente care livrează medicamente pacienților din spitale; în aparatele cu raze X de la aeroport concepute pentru a detecta armele; și în sistemele de construcție care controlează încuietori electronice pentru uși, sisteme de alarmă, lumini, lifturi și camere de supraveghere video.

un atacator poate trimite o comandă instantanee pentru a închide una sau ambele uși pentru a prinde vehiculul în interior sau pentru a deschide și închide o ușă în mod repetat pentru a lovi vehiculul de mai multe ori în timp ce șoferul încearcă să fugă.

de data aceasta, accentul său a fost pus pe PDQ LaserWash, un sistem complet automatizat, fără perii, fără atingere, care pulverizează apă și ceară printr-un braț mecanic care se mișcă în jurul unui vehicul. Spălătorii auto PDQ sunt populare în întreaga SUA, deoarece nu necesită însoțitori pentru a opera. Multe dintre facilități au uși de golf la intrare și ieșire care pot fi programate să se deschidă și să se închidă automat la începutul și sfârșitul unei zile și un meniu cu ecran tactil care permite șoferilor să își aleagă pachetul de curățare fără a interacționa cu niciun lucrător.

sistemele rulează pe Windows CE și au un server web încorporat care permite tehnicienilor să le configureze și să le monitorizeze pe internet. Și aici se află problema.

Rios spune că a devenit interesat de spălătoriile auto după ce a auzit de la un prieten despre un accident care a avut loc cu ani în urmă, când tehnicienii au configurat greșit unul într-un mod care a provocat brațul mecanic să lovească un minivan și înăuntru cu apă. Șoferul a avariat vehiculul și mașina de spălat în timp ce accelera rapid pentru a scăpa.

o călătorie reușită prin spălătoria auto. Cercetătorii nu au putut obține permisiunea de a publica videoclipuri cu hack-ul de la proprietarii de spălătorii auto.

Rios și McCorkle au examinat software-ul PDQ în urmă cu doi ani și și-au prezentat concluziile despre vulnerabilități la Summit-ul de securitate Kaspersky din Mexic în 2015. Deși au crezut că vulnerabilitățile le-ar permite să deturneze un sistem, nu au reușit să testeze teoria împotriva unei spălătorii auto până în acest an, când o unitate din statul Washington a fost de acord să coopereze, folosind camioneta cercetătorilor ca victimă.deși sistemele PDQ necesită un nume de utilizator și o parolă pentru a le accesa online, parola implicită este ușor de ghicit, au spus cercetătorii. De asemenea, au găsit o vulnerabilitate în implementarea procesului de autentificare, făcând posibilă ocolirea acestuia. Nu toate sistemele PDQ sunt online, dar cercetătorii au descoperit peste 150 care au fost, folosind motorul de căutare Shodan care caută dispozitive conectate la internet, cum ar fi camere web, imprimante, sisteme de control industrial și, în acest caz, spălătorii auto.

De asemenea, ar putea manipula brațul mecanic pentru a lovi vehiculul sau a vărsa apă continuu, ceea ce face dificilă ieșirea din mașină a unui ocupant prins.

au scris un script de atac complet automatizat care ocolește autentificarea, monitorizează când un vehicul se pregătește să iasă din camera de spălare și determină ușa de ieșire să lovească vehiculul la momentul potrivit. Tot ce trebuie să facă un atacator este să aleagă adresa IP pentru spălarea mașinii pe care doresc să o atace, apoi să lanseze scriptul. Software-ul spălătoriei auto urmărește unde se află o spălătorie auto în ciclul său, ceea ce face ușor să știți când spălarea este pe cale să se încheie și un vehicul să iasă. Un atacator poate trimite o comandă instantanee pentru a închide una sau ambele uși pentru a prinde vehiculul în interior sau pentru a deschide și închide o ușă în mod repetat pentru a lovi vehiculul de mai multe ori în timp ce șoferul încearcă să fugă.deși senzorii infraroșii detectează când ceva se află în calea unei uși pentru a preveni acest lucru, cercetătorii au reușit să determine sistemul să ignore senzorii. De asemenea, ar putea manipula brațul mecanic pentru a lovi vehiculul sau a vărsa apă continuu, ceea ce face dificil pentru un ocupant prins să iasă din mașină. Cu toate acestea, nu au încercat acest lucru în timpul testelor live, pentru a evita deteriorarea brațului.

un mecanism de siguranță bazat pe software împiedică brațul să lovească un vehicul în mod normal, dar au reușit să dezactiveze și acest lucru.”dacă vă bazați exclusiv pe siguranța software-ului, nu va funcționa dacă există un exploit în joc”, a spus Rios într-un interviu. „Singurul lucru care va funcționa sunt mecanismele de siguranță hardware.”

deși cercetătorii au filmat testele cu un telefon mobil, proprietarul spălătoriei auto nu îi va lăsa să publice videoclipul.

aceasta nu este prima dată când cineva a deturnat un sistem de robotică. În luna mai, cercetătorii de la Trend Micro au arătat cum ar putea recalibra un braț robotic utilizat în fabricile de producție pentru a-și modifica mișcarea. Dar atacul de spălare a mașinilor are „un impact potențial mai larg asupra maselor”, a spus Rios. „De fapt, nu sunt atât de multe lucruri … care sunt în spațiul public… și care te pot lovi.”

cercetatorii au raportat concluziile lor la Departamentul de Securitate Internă și vânzătorul și sunt eliberarea unui raport în această săptămână, în legătură cu vorbesc lor pălărie neagră.

un purtător de cuvânt al PDQ a declarat pentru Motherboard într-un e-mail că este „conștient” de discuția despre pălăria neagră și lucrează la investigarea și remedierea problemelor de securitate cu sistemul.”toate sistemele-în special cele conectate la internet—trebuie să fie configurate având în vedere securitatea”, a scris Gerald Hanrahan de la PDQ. „Aceasta include asigurarea faptului că sistemele se află în spatele unui firewall de rețea și asigurarea faptului că toate parolele implicite au fost schimbate. Echipa noastră de asistență tehnică este pregătită să discute aceste probleme cu oricare dintre clienții noștri.”

obțineți șase dintre poveștile noastre preferate de pe placa de bază în fiecare zi, înscriindu-vă la newsletter-ul nostru.