Эксперты обнаружили уязвимости в кардиостимуляторах

Эксперты обнаружили уязвимости в кардиостимуляторах

Эксперты обнаружили уязвимости в кардиостимуляторах

Интересный доклад озаглавленный «О (не) безопасности современных вживляемых кардиодефибрилляторов и о том, как сделать их безопасными» был представлен сводной группой исследователей из Левенского католического университета, Бирмингемского университета, а также университетской больницы Gasthuisberg.

Команда изучила работу 10 различных кардиостимуляторов и кардиодефибрилляторов, с целью выяснить, можно ли скомпрометировать такие устройства удаленно и причинить вред их носителю. Как выяснилось, можно.

Исследователи проводили тестирование по методу черного ящика (black box testing), то есть перед началом тестов им не было известно ничего о внутреннем устройстве девайсов и их предварительное изучение не проводилось. Для своих экспериментов специалисты вооружились коммерческим оборудованием, которое вряд ли можно назвать недорогим, однако приобрести его можно свободно:  Universal Serial Radio Peripheral URSP-2920 ($3670), USB-6353 ($2886).

«Мы умышленно работали по методике black-box, имитируя поведение самых непродвинутых атакующих, у которых нет никаких исходных знаний о спецификации системы. Используя метод black-box, мы просто прослушивали беспроводной канал, а затем производили реверс-инжиниринг проприетарного протокола связи. Как только все нули и единицы, а также их значения, становились нам известны, мы могли выдать себя за настоящий ридер и произвести атаки», — рассказывают специалисты.

В докладе исследователи рассказывают, что им удалось существенно увеличить скорость разрядки батареи устройств, похитить личные данные пациентов, которые хранятся кардиостимуляторами, а также передать современным вживляемым кардиодефибрилляторам произвольные команды.

Последнее обстоятельство является самым опасным. Технически вживляемые кардиодефибрилляторы (Implantable Cardiac Defibrillators, ICD) – это более продвинутая версия привычным кардиостимуляторов. Равно как и обычное устройство, они могут посылать электрические сигналы сердцу пациента, чтобы регулировать его активность. Однако в случае возникновения экстренной ситуации, у вживляемых дефибрилляторов также есть возможность передавать более сильные электрические сигналы, подобно тому, как это делают дефибрилляторы в больницах. Исследователи пишут, что атакующий может передать ICD команду на создание сильного электрического импульса, и последствия такой атаки, скорее всего, будут смертельными, пишет xakep.ru.

Физический доступ к устройству для подобной атаки не требуется. Злоумышленнику достаточно находится на расстоянии примерно пяти метров от жертвы. Исследователи говорят, что атакующему даже не обязательно приближаться к пациенту лично: можно заранее установить маячки в стратегических местах, где тот часто бывает (к примеру, в больнице или на остановке общественного транспорта).

Разумеется, в докладе не перечислены модели протестированных устройств и названия компаний-производителей. Из соображений безопасности исследователи не раскрывают слишком много данных о своих изысканиях. Журналистам The Register исследователи без подробностей сообщили, что уязвимый вендор был проинформирован о проблемах, и уже выпустил патч.

ФСБ РФ закрыла белые списки для Сбера и других банков, не внедривших СОРМ

ФСБ России наложила вето на включение в белые списки рунета ресурсы банков, не установивших СОРМ. По этой причине профильные приложения Сбербанка, Т-Банка, Газпромбанка в этом перечне пока отсутствуют.

В минувшем октябре ФСБ известила игроков финансового рынка о новом требовании — установить СОРМ до 2027 года. В обоснование спецслужба указала, что на банки распространяется статус ОРИ, так как у них имеются сервисы обмена сообщениями (с той же техподдержкой, к примеру).

Насколько известно, Сбер, Т-Банк, Газпромбанк, Райффайзенбанк, Совкомбанк, «Уралсиб» и другие крупные кредитно-финансовые организации пока не отреагировали на это предписание. По всей видимости, они боятся, что установка СОРМ отпугнет клиентов и те уйдут к конкурентам; в телеком-индустрии такого последствия пока не наблюдается.

Примечательно, что «Сбермобайл» и «Т-Мобайл» в белом списке ресурсов числятся. В ответ на запрос СМИ о комментарии представитель Минцифры РФ пояснил, что сервисы вносятся в белый список после согласования с заинтересованными ведомствами и органами, отвечающими за обеспечение безопасности, в том числе с ФСБ.

Поскольку требования по СОРМ применяются не к банковским группам, а к конкретным юрлицам, множественные сервисы, ассоциируемые с одной и той же группой, могут находиться в разной стадии согласования.

Напомним, в целях противодействия мошенничеству с января текущего года срок обязательного хранения данных о переписке и пользователях в СОРМ был увеличен для ОРИ до трех лет. За нарушение требований предусмотрены штрафы до 6 млн руб. и другие меры воздействия — вплоть до блокировки ресурсов.

RSS: Новости на портале Anti-Malware.ru