Интересный доклад озаглавленный «О (не) безопасности современных вживляемых кардиодефибрилляторов и о том, как сделать их безопасными» был представлен сводной группой исследователей из Левенского католического университета, Бирмингемского университета, а также университетской больницы Gasthuisberg.
Команда изучила работу 10 различных кардиостимуляторов и кардиодефибрилляторов, с целью выяснить, можно ли скомпрометировать такие устройства удаленно и причинить вред их носителю. Как выяснилось, можно.
Исследователи проводили тестирование по методу черного ящика (black box testing), то есть перед началом тестов им не было известно ничего о внутреннем устройстве девайсов и их предварительное изучение не проводилось. Для своих экспериментов специалисты вооружились коммерческим оборудованием, которое вряд ли можно назвать недорогим, однако приобрести его можно свободно: Universal Serial Radio Peripheral URSP-2920 ($3670), USB-6353 ($2886).
«Мы умышленно работали по методике black-box, имитируя поведение самых непродвинутых атакующих, у которых нет никаких исходных знаний о спецификации системы. Используя метод black-box, мы просто прослушивали беспроводной канал, а затем производили реверс-инжиниринг проприетарного протокола связи. Как только все нули и единицы, а также их значения, становились нам известны, мы могли выдать себя за настоящий ридер и произвести атаки», — рассказывают специалисты.
В докладе исследователи рассказывают, что им удалось существенно увеличить скорость разрядки батареи устройств, похитить личные данные пациентов, которые хранятся кардиостимуляторами, а также передать современным вживляемым кардиодефибрилляторам произвольные команды.
Последнее обстоятельство является самым опасным. Технически вживляемые кардиодефибрилляторы (Implantable Cardiac Defibrillators, ICD) – это более продвинутая версия привычным кардиостимуляторов. Равно как и обычное устройство, они могут посылать электрические сигналы сердцу пациента, чтобы регулировать его активность. Однако в случае возникновения экстренной ситуации, у вживляемых дефибрилляторов также есть возможность передавать более сильные электрические сигналы, подобно тому, как это делают дефибрилляторы в больницах. Исследователи пишут, что атакующий может передать ICD команду на создание сильного электрического импульса, и последствия такой атаки, скорее всего, будут смертельными,
Физический доступ к устройству для подобной атаки не требуется. Злоумышленнику достаточно находится на расстоянии примерно пяти метров от жертвы. Исследователи говорят, что атакующему даже не обязательно приближаться к пациенту лично: можно заранее установить маячки в стратегических местах, где тот часто бывает (к примеру, в больнице или на остановке общественного транспорта).
Разумеется, в докладе не перечислены модели протестированных устройств и названия компаний-производителей. Из соображений безопасности исследователи не раскрывают слишком много данных о своих изысканиях. Журналистам The Register исследователи без подробностей сообщили, что уязвимый вендор был проинформирован о проблемах, и уже выпустил патч.
Злоумышленники превратили сотни выходных узлов Tor в инфраструктуру для перехвата SSH-соединений. Вместо нужного сервера пользователь мог попасть на сервер атакующих и отдать им пароль. Но был важный барьер: для успешной кражи требовалось принять подменённый ключ сервера.
Атаку описал исследователь под псевдонимом kaba. Проверив около 3000 выходных узлов, он обнаружил 333, перенаправлявших SSH-трафик через одни и те же 12 серверов перехвата. Это примерно каждый десятый узел по количеству.
Исследователь заметил неладное 2 октября: SSH-клиент предупредил, что ключ удалённого сервера изменился. То самое сообщение, которое хочется раздражённо закрыть, в этот раз указывало на реальную подмену.
Если пользователь принимал чужой ключ и вводил пароль, атакующие могли получить доступ к его серверу. В ходе дальнейшей проверки kaba также зафиксировал попытку установить Ebury — бэкдор для Linux, предназначенный в том числе для кражи учётных данных.
Команда Tor подтвердила компрометацию серверов операторов: злоумышленники меняли настройки, а некоторые промежуточные узлы превращали в выходные. Затронутые узлы начали исключать из сети. Первоначальный способ взлома серверов остаётся неясным.
Опасное окно пришлось на 1-5 октября. Число пострадавших неизвестно. Пользователям, которые в эти дни подключались по SSH через Tor, принимали незнакомый ключ и вводили пароль, стоит считать его скомпрометированным. Анонимный маршрут не отменяет проверку того, кому вы отдаёте доступ.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
