IoT
É um fato triste, mas os dispositivos inteligentes são mais populares que seguros. Em uma de nossas publicações recentes, escrevemos sobre as ameaças que essa insegurança gera para usuários de dispositivos domésticos conectados. Hoje, apresentamos outra descoberta feita por nossos especialistas: uma câmera inteligente com quase tantas vulnerabilidades quanto funcionalidades.
Sério, 13 falhas! Você encontra o detalhamento no relatório completo do Securelist. Vamos dar uma olhada no que isso pode significar para o dono de uma dessas.
O objeto de nosso estudo é o Hanwha SNH-V6410PN da Techwin, uma antiga subsidiária da Samsung. Embora a empresa tenha mudado de proprietário há alguns anos atrás, fabricou essas câmeras sob a marca Samsung até o final de 2017 e ainda é possível encontrá-la dessa forma.
A câmera é comercializada como uma ferramenta de monitoramento para todos os fins, para berçários, residências em geral e até mesmo pequenos escritórios. Ele pode ver no escuro, virar para seguir um objeto em movimento, transmitir imagens para um smartphone ou tablet e reproduzir o som por meio de um alto-falante embutido.
Os proprietários podem controlar todas as funcionalidades por meio de um serviço em nuvem acessível a partir de um computador desktop ou de um dispositivo móvel. De acordo com a pesquisa do Kaspersky Lab ICS CERT, no entanto, as vulnerabilidades na câmera permitem que outras pessoas a controlem. Isso abre muitas oportunidades para cibercriminosos.
Não veja o mal
Por um lado, um estranho pode substituir o fluxo de vídeo entregue ao usuário, assim como nos filmes em que vilões – ou mocinhos – enganam a equipe de segurança com imagens da semana anteriores, enquanto invadem a instalação segura. Não mais restrito a filmes, esse truque agora pode ser usado por criminosos reais empenhados em invadir uma casa ou prédio de escritórios protegidos por essa câmera inteligente.
A mesma câmera pode ajudar os oportunistas a monitorarem um local antes de entrar. Nossos especialistas puderam interceptar o fluxo de vídeo, acessar o canal de áudio e obter dados baseados em localização. Isso significa que os invasores poderão aprender a localização do dispositivo e estudar os hábitos e práticas dos residentes ou funcionários para planejar cuidadosamente um ataque – tudo de forma remota, pela Internet.
Vigio com meu olho eletrônico
Mesmo se deixarmos de lado esses cenários dramáticos, muitas outras oportunidades estão disponíveis para um hacker. Como muitos outros dispositivos inteligentes, essa câmera pode trocar dados com mídias sociais e serviços online para fornecer ao proprietário notificações sobre eventos que ocorrem na área de vigilância. Uma vez no controle, os cibercriminosos não podem apenas anular os dados da sua conta, mas também usar o dispositivo hackeado para enviar mensagens de spam ou phishing aos seus amigos.
E para encobrir seus rastros – ou simplesmente por diversão – também podem arruinar as câmeras completamente.
Naturalmente, algumas oportunidades óbvias também existem, como espionar os donos da câmera quando eles pensam estar sozinhos. Hackers aplicam essas peças por diversão o tempo todo.
A câmera também pode reproduzir o som pelo alto-falante embutido. Preferimos não ser muito criativos aqui, mas imagine um estranho falando pela câmera de vigilância do quarto de seus filhos. Ter uma coisa dessas conectada à Internet não parece mais uma boa ideia, não é?
Ataque dos ciberzumbis
Alguns anos atrás, o mundo aprendeu sobre o potencial das botnets da IoT – milhares de dispositivos inteligentes que funcionavam sob o comando dos criminosos derrubaram vários serviços de Internet de grande porte. As câmeras inteligentes da Hanwha Techwin não estavam imunes. Com centenas ou milhares de câmeras hackeadas, os criminosos podem usá-las para um ataque DDoS, mantê-las operando em busca de criptografia ou ordenar que infectem dispositivos adjacentes na mesma rede – e até mesmo, fazer tudo isso.
Um futuro sombrio?
Na verdade, além das câmeras domésticas e de escritório, a Hanwha também fabrica sistemas de CCTV industriais. Outros produtos interessantes no portfólio deste fornecedor incluem veículos de artilharia autopropulsados e torres de metralhadoras automáticas. Esperamos que a segurança seja a prioridade número 1 quando se trata de certos dispositivos.
Relatamos todos os problemas que detectamos no firmware Hanwha SNH-V6410PN e no serviço de nuvem por meio do qual a unidade é controlada e o fornecedor já corrigiu a maioria deles.
Mas até que os fabricantes de dispositivos inteligentes comecem a tomar uma posição muito mais séria sobre a proteção de seus produtos – no início do ciclo de desenvolvimento – sugerimos que assuma o controle de sua própria segurança.
- Antes de obter um dispositivo inteligente – seja um monitor de vídeo para bebês controlado por smartphone ou algo totalmente diferente – pense duas vezes. Se você realmente precisar, pesquise na Internet qualquer informação sobre tentativas de ataques ou vulnerabilidades conhecidas.
- Aprenda o máximo que puder sobre os dispositivos que você já possui para reduzir o risco de ataque. A Kaspersky Lab lançou um aplicativo chamado Kaspersky IoT Scanner – uma solução gratuita de proteção para dispositivos inteligentes. Ele verificará sua rede Wi-Fi e informará se os dispositivos conectados a ela estão seguros ou não.
Dicas