Zranitelnost takzvaného internetu věcí (IoT) je evergreenem různých debat, prohlášení a studií posledních let. Obecný humbuk zesiluje s tím, jak se politici a lobbisti pustili do prezentování 5G sítí jako pomalu největší revoluce od vzniku internetu. Problém dle odborníků skutečně začíná zesilovat, což ukazují i množící se konkrétní zranitelnosti a útoky.
Výzkumníci z izraelské kyberbezpečnostní společnosti Check Point společně s univerzitou v Tel Avivu nyní například odhalili zranitelnost chytrých žárovek, kterou lze reálně využít k proniknutí do dalších částí sítě, kam pak útočník může nasadit třeba ransomware.
Konkrétně jde o IoT žárovky Philips Hue, jejichž zranitelnost ve spojitosti s protokolem ZigBee je popsaná od roku 2017. Tehdy bylo zjištěno, že je možné do žárovek nainstalovat škodlivý firmware a rozšířit ho do dalších žárovek (označeno jako řetězová reakce). Izraelci na tato zjištění navázali a podařilo se jim realizovat útok tak, že bylo možné převzít kontrolu nad řídicí jednotkou a následně zaútočit na síť.
O bezpečnosti 5G sítí a IoT v rychlém rozhovoru pro Lupu dále hovoří Dorit Dor, která je mimo jiné držitelkou ocenění Israel National Defense Prize a v Check Pointu patří mezi dvě nejdůležitější osoby. „Politici mohou přinést na stůl věci typu většího povědomí o dané problematice. A to zejména v takzvané C-level oblasti, kdy technikům pomohou bezpečnost protlačit i u vedení společností a podobně. Politici ale většinu času říkají velmi obecné řeči, které nemají přílišné napojení na realitu,“ říká mimo jiné k politické smršti kolem 5G.
Ze žárovek do celé sítě
„Philips jsme si vybrali z toho důvodu, že jde o obrovskou firmu, která hodně investuje do kyberbezpečnosti. Neměli jsme čas a kapacity zkoušet další IoT žárovky, kterých je na trhu dost, ale zranitelnosti bychom stoprocentně našli všude,“ popisuje pro Lupu Itzik Feiglevitch z Check Pointu.
Izraelští výzkumníci Philips o průniku informovali v listopadu roku 2019, firma zareagovala a vydala opravný firmware. Obě strany se rozhodly prozatím přesné technické detaily nezveřejňovat, aby uživatelé dostali prostor si své žárovky zabezpečit a útočníci nemohli situaci zneužít, respektive aby se riziko co nejvíce minimalizovalo.
Prozatím se tak lze na přiloženém videu podívat na dvouminutovou ukázku útoku. Check Point zároveň popsal základní princip toho, jak se dá do sítě přes svítidla dostat.
„Hacker ovládá barvu nebo jas žárovky, aby přiměl uživatele si myslet, že žárovka má závadu. Žárovka se v ovládacím panelu uživatele zobrazí jako nedostupná, takže se ji pokusí resetovat. Jediný způsob, jak žárovku resetovat, je odstranit ji z aplikace a následně ji nechat znovu vyhledat přes řídicí jednotku. Řídicí jednotka najde infikovanou žárovku a uživatel ji přidá zpět do své sítě. Hackerem ovládaná žárovka s aktualizovaným firmwarem pak s využitím zranitelnosti v protokolu ZigBee způsobí přetečení vyrovnávací paměti v řídicí jednotce pomocí velkého množství zasílaných dat. Útočníkům to zároveň umožní nainstalovat malware do řídicí jednotky, která je připojena k podnikové nebo domácí síti. Malware se znovu spojí s útočníky a využije nějaký známý exploit (například EternalBlue, který byl využit i při ransomware útocích v Česku – poznámka redakce), takže útočníci mohou infikovat cílovou IP síť přes řídicí jednotku a šířit ransomware nebo spyware,“ popisují Izraelci.
Noční můra v nemocnicích
Když je řeč o českých ransomware útocích, které postihly nemocnici v Benešově nebo OKD, a internetu věcí, je třeba brát v potaz, že právě v nemocnicích je řada zařízení, která lze považovat za IoT a která jsou na tom zároveň z pohledu bezpečnosti velice špatně. Jejich software je často zastaralý a stroje špatně začleněny do sítě.
Konkrétně Check Point během svých výzkumů narazil na zranitelnosti v infúzních pumpách, přístrojích pro ultrazvuk a mnohých dalších instrumentech. Základní průzkum si ostatně může každý provést sám v Shodanu.
„V praxi to funguje i tak, že Philips nemocnicím řekne, že jeho určité zdravotnické zařízení už není podporované. Nemocnice ale reagují tím, že už do stroje investovaly značné finanční prostředky, takže není motivace ho měnit. Vypadá to, že máme spadeno na Philips, ale je to obecný a rozšířený problém,“ míní Feiglevitch.
„Hodně během své práce navštěvuji nemocnice a je to noční můra. Často tam používají MS-DOS, Windows 95 a podobně. Zařízení tam sedí dvacet, pětadvacet let a nikdo na ně nesáhne,“ doplňuje.
Prognózy začínají říkat, že až 25 procent úspěšných útoků bude moci být realizováno právě prostřednictvím IoT zařízení. „A to, že například vlády uvádí, že žádné útoky nezaznamenaly, neznamená, že by lhaly, ale že říkají jen to, co samy ví. Nebo to nikdo nenahlásil,“ naznačují Izraelci.
Avast a jeho útok na kávovar
Podobné problémy existují i mimo nemocnice. Nezabezpečených systémů různého druhu existuje řada. Nedávný průzkum na českých firmách a organizacích, který jsme na Lupě popsali, ukázal, že takových zranitelných systémů je minimálně 1600. Obecně lze říci, že firmy často ani neví, jaká IoT zařízení v síti mají, jaké používají protokoly a že by například bylo dobré tyto stroje oddělit od hlavní sítě.
S podobným útokem, jako je ten na žárovky Philips, nedávno přišel také český Avast. Tomu se podařilo hacknout kávovar a přes něj se dostat dále.
„Byli jsme schopní z tohoto kávovaru udělat stroj s ransomwarem. Také jsme byli schopní kávovar použít jako bránu ke sledování všech zařízení připojených v domácí síti,“ popisuje výzkumník z Avastu Martin Hron.
„Jako mnoho chytrých zařízení, i kávovar je prodáván se základním nastavením a není tak třeba heslo pro připojení přístroje k Wi-Fi. Nahrát škodlivý kód tak bylo lehké,“ pokračuje Hron.
„Kávovar jsme mohli nechat přehřát a potenciálně tak způsobit požár. Dostali jsme spařenou vodu do hořáku. Dokonce jsme kávovar přiměli posílat ransomware zprávy vyžadující platby.“ Avast na problémy s IoT už nějakou dobu upozorňuje a v Praze si pro ně založil vlastní laboratoř.
