Maszyny atakują czyli hakowanie myjni samochodowych

Powoli kończy się nam lista urządzeń, które jeszcze nie zostały podłączone do internetu i po drodze zhakowane. Dzisiaj do kategorii incydentów Internetu Rzeczy dopisujemy zdalne sterowanie myjnią samochodową.

W trakcie konferencji Kaspersky Security Analyst Summit znany badacz bezpieczeństwa systemów przemysłowych, Billy Rios, zaprezentował wyniki swojego badania poziomu bezpieczeństwa myjni samochodowych. Do badania zainspirował go znajomy pracownik sieci stacji benzynowych, który opowiedział mu ciekawą historię. W trakcie mycia jednego z pojazdów myjnia była zdalnie serwisowana przez obsługę. Na skutek jej błędu ramię myjni uderzyło w pojazd uszkadzając go, a spanikowany kierowca ruszył i wyjeżdżając przez zamknięte drzwi uszkodził poważnie zarówno myjnię jak i samochód. Billy postanowił sprawdzić, czy dostęp do zarządzania myjnią jest dobrze zabezpieczony. Wynik tego eksperymentu można było z góry przewidzieć.

Panel zarządzania myjnią

Billy Rios do tej pory specjalizował się w bezpieczeństwie systemów SCADA, systemów medycznych i lotniskowych skanerów bezpieczeństwa, jednak postanowił spojrzeć także na inne kategorie urządzeń, a konkretnie automatyczne myjnie samochodowe LaserWash firmy PDQ.

Myjnia Laserwash

Skan internetu pozwolił badaczowi namierzyć kilkaset takich myjni. Można je poznać po serwerze WWW służącym do monitoringu i zarządzania wystawionym na publicznym adresie IP. Z założenia interfejs WWW ma służyć właścicielowi do analizy danych o działaniu myjni, liczby klientów, zarobków itp, a z kolei obsłudze może pomóc w identyfikacji i usuwaniu problemów oraz konfiguracji sposobu działania urządzenia. Serwer WWW stanowi jedynie nakładkę na prawdziwy system zarządzania myjnią, oparty o Windows CE i architekturę ARM. Z reguły udostępniany jest także telnet. Badacz odkrył, że do obu interfejsów zalogować się może używając domyślanego 5-literowego loginu i hasła. Co prawda nie podaje jego treści, ale 5 liter i domyślne hasło kojarzy się nam jednoznacznie z admin:admin.

Poszczególne wywołania w serwerze WWW przekazywane są do odpowiednich bibliotek DLL, które z kolei komunikują się za pomocą protokołu Modbus bezpośrednio z wyposażeniem myjni. Badacz opisał kilka przykładowych funkcji, które bez problemu mógł wywołać z poziomu interfejsu administratora:

• rozpoczęcie dowolnego programu mycia jednym żądaniem GET, czyli darmowa myjnia dla każdego znającego adres IP, login i hasło,
• wyłączenie czujników bezpieczeństwa na bramie wjazdowej i wyjazdowej, dzięki czemu może on uderzyć w człowieka lub samochód,
• sterowanie bramami myjącymi oraz wózkami, dzięki czemu można fizycznie uszkodzić samochód znajdujący się w myjni,
• odbieranie i wysyłanie wiadomości poczty elektronicznej (tak, da się myjni założyć konto na Facebooku).

Poważniejsza kategoria zagrożeń

Z reguły w opisywanych przez nas do tej pory przypadkach osoba, która uzyskała nieautoryzowany dostęp do zdalnie sterowanych urządzeń mogła płatać psikusy w rodzaju wyłączania światła czy sterowania żaluzjami, ale sytuacja z myjniami pokazuje, że możemy także mieć do czynienia z innym poziomem zagrożeń. Jeśli oddamy w cudze ręce możliwość sterowania urządzeniami dysponującymi ruchomymi częściami, w zasięgu pracy których znajdują się ludzie, może dojść do realnego zagrożenia zdrowia czy życia. W tego typu przypadkach poziom zabezpieczeń powinien odpowiadać możliwym zagrożeniom. A jak jest w rzeczywistości? Oddajmy głos badaczowi:

Trudno się nie zgodzić z opinią badacza. Niestety nie spodziewamy się, by sytuacja w tym obszarze uległa jakiejkolwiek poprawie – prędzej usłyszymy o pierwszych ofiarach niż o tym, że producenci urządzeń postawili na bezpieczeństwo dostępu i jakość oprogramowania.

Źródło: Dark Reading, threatpost