10 poważnych i nietypowych jednocześnie zagrożeń bezpieczeństwa

Hakerzy atakują samochód

Wbudowana w kokpit samochodu nawigacja i system informacyjno-rozrywkowy mogą wyjątkowo mocno poprawić wrażenia płynące z jazdy, ale mogą również otworzyć samochód na zagrożenia, których nawet nie możesz sobie wyobrazić. W ubiegłym roku naukowcom pracującym na kwestią bezpieczeństwa w autach, Charliemu Millerowi i Chrisowi Valaskowi, udało się przejąć kontrolę nad systemem hamowania i przyspieszania w Jeepie Cherokee - między innymi za pośrednictwem internetu. Badacze do swojego ataku wykorzystali lukę w systemie informacyjno-rozrywkowym samochodu "UConnect" i użyli smartfona by zdalnie zahamować samochód podczas jazdy. Choć przygotowanie ataku zajęło trzy lata, to fakt, że ktoś potrafił przejąć kontrolę nad samochodem przez dziurę w systemie w trakcie jazdy był na tyle niepokojący, że Fiat Chrysler wycofał ze sprzedaży 1,4 miliona wadliwych pojazdów.

Nie łączy się komputerów z bronią

TrackingPoint stworzył serię wspomaganych komputerowo karabinów z czujnikami, które pomagają celniej strzelać. Broń była hitem wśród wielu serwisów poświęconych IT. Wystarczyło jednak niewiele czasu by okazało się, że nowoczesny karabin nie jest tak doskonały, jak wygląda. Na targach i konferencjach DEFCON i Black Hat w Las Vegas specjaliści ds. bezpieczeństwa, Runa Sandvik i Michael Auger, pokazali jak można łatwo zhakować karabin TrackingPoint. Para ekspertów wykorzystała lukę w systemie pistoletu, połączyła się poprzez wbudowany punkt dostępu Wi-Fi i przekierowała strzały w innym kierunku.

TrackingPoint odpowiedział: „jako że broń nie posiada możliwości łączenia się z internetem, może zostać zaatakowana jedynie wtedy, gdy haker jest rzeczywiście obok Ciebie. Nadal możesz korzystać z bezprzewodowego dostępu do internetu (do pobierania zdjęć lub podłączania się do ShotView), jeśli jesteś pewny, że w odległości 30 m nie znajduje się żaden haker. Tak, to zmienia sprawę...

Elektryczna deskorolka zhakowana

Samochód to nie jedyny środek transportu, który jest potencjalnie narażony na ataki. Na początku sierpnia ubiegłego roku naukowcy Richo Healey i Mike Ryan pokazali, że możliwe jest zdalne sterowanie elektryczną deskorolką poprzez wykorzystanie niezabezpieczonego połączenia Bluetooth między deską a zdalnym pilotem.

W swojej demonstracji, którą trafnie nazwali „FacePlant” (ang. upaść na twarz, używane przez skateboardzistów), Healy i Ryan użyli laptopa, by przejąć kontrolę nad deskorolką, nagle ją zatrzymać, a następnie zmienić tor jazdy. Osoba na deskorolce wypadała wówczas ze sprzętu i lądowała na jezdni.

Patrząc na to z odpowiednią dozą realizmu, mało prawdopodobne jest, byś musiał się martwić o coś podobnego, jednak doświadczenie Healy’ego i Ryana powinno zwrócić uwagę producentów deskorolek elektrycznych, skuterów i rowerów.

Malware dostaje się do BIOS-u

Kiedy myślisz o złośliwym oprogramowaniem, przychodzą Ci do głowy najpewniej wirusy, spyware i konie trojańskie, które infekują komputer na poziomie systemu operacyjnego. Ale to nie wszystko, jeśli chodzi o pojawiające się nowe złośliwe oprogramowanie, które dostaje się do bazowego oprogramowania komputera.

Fragment złośliwego oprogramowania o nazwie badBIOS nie tylko infekuje BIOS na PC – jest również prawie niemożliwy do usunięcia. Według naukowców badBIOS może przetrwać w systemie, nawet gdy przeskanujesz BIOS (!). Tradycyjne metody wykrywania i usuwania są właściwie bezużyteczne w przypadku badBIOS.

Na ten typ malware może być narażony prawie każdy komputer, nawet jeśli używasz systemu operacyjnego, który może zostać zaatakowany przez niewiele rodzajów złośliwego oprogramowania. Żeby nie szukać daleko - jeszcze kilka miesięcy temu naukowcy pokazali, w jaki sposób złośliwe oprogramowanie może zaatakować firmware EFI, którego Apple używa na komputerach Mac.

Złośliwe oprogramowanie, które wykorzystuje sygnały dźwiękowe

BadBIOS miał jeszcze inny złośliwy as w rękawie: chociaż rozprzestrzenia się poprzez zainfekowane dyski USB, naukowcy uważali, że komunikuje się z innymi zainfekowanymi komputerami za pośrednictwem sygnałów dźwiękowych o dużej częstotliwości. Teraz natomiast podkreślają, że jest to tylko jedna z kilku możliwości. Genialnie!

Gdy dobre USB staje się złe

Szkodliwe oprogramowanie dostarczane na dyskach USB za pośrednictwem zainfekowanych plików nie jest nowością, jednak ten problem można załagodzić ostrożnością i dobrym pakietem antywirusowym. Ale gdy sama pamięć USB jest złośliwa, no cóż… Wtedy wszystko na nic.

BadUSB pokazuje, jak można zmodyfikować dyski USB do niecnych celów. Korzystając z ataków takich jak BadUSB, dystrybutor malware może zmodyfikować firmware na samym USB, by oszukać komputer, że jest to inny rodzaj urządzenia.

Na przykład, jak wyjaśnił to Lucian Constantin z IDG News Service, „pamięć USB podłączona do komputera może automatycznie przełączyć swój profil na klawiaturę, a następnie wysłać powiadomienie do pobrania i zainstalowania złośliwego oprogramowania lub zmienić ustawienia DNS".

USB-morderca

Oczywiście, BadUSB to nie to samo co dysk USB ze złośliwym oprogramowaniem. "USB-morderca" to atak typu proof-of-concept, w którym osoba atakująca modyfikuje sprzęt dysku USB w taki sposób, że Twój komputer zostaje porażony prądem, a nie danymi. Zmodyfikowany USB powoduje sprzężenia zwrotne, a prąd osiąga tak wysokie napięcie, że wypala komputer od wewnątrz. Uwierz - jeden taki dysk USB mógłby prawdopodobnie bardzo szybko całkowicie zepsuć Twój komputer.

WireLurker bierze na celownik Maca i iPhone’a

Jeśli chodzi o złośliwe oprogramowanie na urządzenia mobilne, iPhone wychodzi z tego właściwie bez szwanku. Nie znaczy to wcale, że iOS nie jest podatny na ataki. Najlepszym przykładem z ostatniego czasu jest WireLurker. Program wykorzystywał zainfekowane aplikacje OS X do dostarczania szkodliwego oprogramowania, który zdobywało dane osobowe użytkownika - takie jak lista połączeń czy kontakty (zarówno z jailbreak, jak i niezmodyfikowanych iPhone'ów). Gdy WireLurker dostał się już do komputera Mac, czekał, byś podłączył do niego swego iPhone’a. Jeśli wykrył iPhone’a poddanego wcześniej zabiegowi jailbreak, wyszukiwał konkretne aplikacje dla telefonów po tej modyfikacji i zastępował je zainfekowanymi wersjami. Na telefonach "fabrycznych", instalował natomiast swój „ładunek” za pomocą funkcji, którą firmy instalują niestandardowe aplikacje na iPhone’ach swoich pracowników. Na szczęście Apple nie tracił czasu i zablokował WireLurker krótko po wykryciu.

GPU: Przyszły cel malware’u?

Jednym z ciekawych przykładów proof-of-concept dotyczącego instalacji złośliwego oprogramowania w GPU jest projekt JellyFish (rootkit GPU), który udowodnił, że malware może działać na procesorze graficznym komputera PC.

Projekt JellyFish (dostępny do tej pory w serwisie GitHub) miał pokazać jak taki atak może wyglądać. Szybko okazało się, że oprogramowanie tego typu jest szczególnie niebezpieczne ponieważ można je łatwo dostosować do ataku na komputery z systemem Windows, Linux lub OS X.

Złośliwe oprogramowanie napisane pod GPU byłoby teoretycznie również trudniejsze do wykrycia niż tradycyjne wirusy, choć niedawny raport McAfee wskazuje, że oprogramowanie zabezpieczające być może (być może!) potrafiłoby je ostatecznie wykryć. Jednak jakaś nadzieja się tli…

Technologia a bezpieczeństwo w domu

Kamera wideo podłączona do internetu wydaje się w teorii dobrym pomysłem – dzięki niej jesteś w stanie sprawdzić, co dzieje się w Twoim domu gdy jesteś poza nim. Ale naukowcy wykazali, że urządzenia połączone z domem często umożliwiają osobom atakującym naruszenie Twojej prywatności.

Przykładem jest badanie opublikowane przez firmę ochroniarską Synack, z którego wynika, że istnieje „długa lista problemów związanych z kamerami IP, w tym otwarte porty, wbudowane backdoory czy brak szyfrowania”. W ciągu zaledwie jednego miesiąca od startu testów podobnych urządzeń naukowcy zdołali włamać się do dziewięciu różnych elektronicznych niań podłączonych do internetu – a to z pewnością przerażająca perspektywa dla każdego rodzica.

Jeśli atakujący znajdzie sposób, by zdalnie sterować podłączonym do sieci domowej urządzeniem, może użyć go także by przechwycić dane osobowe takie jak nazwy użytkowników czy hasła do wrażliwych usług online.