Smart Things trabajando más allá de su "End of Life": Parchea los electrodomésticos de tu casa.

La no­ti­cia de los fri­go­rí­fi­cos ha­kea­dos ha dado la vuel­ta al mundo, y a la gente le llama la aten­ción que algo así haya su­ce­di­do. La ex­pli­ca­ción es tan sen­ci­lla como sa­be­mos desde hace mu­chos años. Un pro­duc­to End of Life , es decir, fuera de so­por­te y man­te­ni­mien­to, no tiene par­ches de se­gu­ri­dad, lo que hace que a par­tir del día que entra en EoL es un pe­li­gro que hay que mi­ti­gar. Fi­gu­ra 1: Smart Things tra­ba­jan­do más allá de su "End of Life". Par­chea los elec­tro­do­més­ti­cos de tu casa. Si a esto le sumas la lle­ga­da de la In­te­li­gen­cia Ar­ti­fi­cial para Of­fen­si­ve Se­cu­rity , per­mi­tien­do que haga un des­cu­bri­mien­to de los ele­men­tos, que ayude a cons­truir soft­wa­re de ex­plo­ta­ción para cual­quier pro­to­co­lo de un dis­po­si­ti­vo, por muy raro que pa­rez­ca, pues te­ne­mos el eco­sis­te­ma per­fec­to. Fi­gu­ra 2: Hac­king Home De­vi­ces I: PoCs & Hack Just for Fun! El nuevo libro de 0xWord para apren­der a bus­car bugs en casa. Es­cri­to por Ge­rard Fu­guet . Esto lo lleva ad­vir­tien­do Ge­rard Fu­guet mu­chos años, en sus li­bros de Hac­king Home De­vi­ces I y Hac­king Home De­vi­ces II , donde hace exac­ta­men­te este tipo de prue­bas con todos los Smart De­vi­ces que ten­gas en casa, pero sobre todo ex­pli­ca a cómo rea­li­zar estos ata­ques. Fi­gu­ra 3: Un fri­go­ri­fi­co no ac­tua­li­za­do Para que en­ten­dáis el ries­go fá­cil­men­te, yo he que­ri­do hacer una pe­que­ña con­sul­ta a la Ge­mi­ni para que me ayude con un es­ce­na­rio que puede ser fic­ti­cio , o real, donde un Smart Frid­ge de Sam­sung Fa­mily Hub no ha sido ac­tua­li­za­do desde el día uno. ¿Cuál será su ries­go si lo tengo en casa? Fi­gu­ra 4: Lista de vul­ne­ra­bi­li­da­des co­no­ci­das Como po­déis ver en estas dos imá­ge­nes, la lista de vul­ne­ra­bi­li­da­des co­no­ci­das es gran­de y bien do­cu­men­ta­da. Al final todos se basan en pie­zas y com­po­nen­tes co­mu­nes que son es­tu­dia­dos, de los que se des­cu­bren bugs , y que hay que ges­tio­nar. Y si no se hace, pues tie­nes un dis­po­si­ti­vo lleno de vul­ne­ra­bi­li­da­des al al­can­ce de cual­quier Bot­net . Fi­gu­ra 5: Más vul­ne­ra­bi­li­da­des de mi Smart Frid­ge fic­ti­cio El re­sul­ta­do es que es­tan­do ahí, solo hay que es­pe­rar a que un es­ca­neo de un malwa­re de la red, o si tu dis­po­si­ti­vo se co­nec­ta a In­ter­net y acaba ex­plo­ta­do, haga el resto. Lo nor­mal es que se le meta una he­rra­mien­ta de ad­mi­nis­tra­ción re­mo­ta, y se con­vier­ta en un Proxy para los malos, en un bot de scrap­ping , en un bot para DDoS o in­fi­ni­dad de otras cosas. Fi­gu­ra 6: Hac­king Home De­vi­ces II: PoCs & Hack Just for Fun! Es­cri­to por Ge­rard Fu­guet . Los ries­gos son cla­ros y bien co­no­ci­dos, y cuan­do le he pre­gun­ta­do a Ge­mi­ni , las con­clu­sio­nes son exac­ta­men­te las mis­mas que os acabo de des­cri­bir, así que no hay mucha más magia y cien­cia que la que sa­be­mos: Un Smart-Wha­te­ver tra­ba­jan­do en EoL es un ries­go alto de se­gu­ri­dad. Fi­gu­ra 7: Es un ries­go alto de que aca­bes en una bot­net La ma­ne­ra de ges­tio­nar­lo es, par­chea todo lo que pue­das, y si se te que­dan cosas sin par­chear, pro­ba­ble­men­te la re­co­men­da­ción más sen­sa­ta es que lo des­co­nec­tes de la red in­me­dia­ta­men­te. Es lo que hay. Fi­gu­ra 8: Pull the plug!! El pro­ble­ma es que mucha gente ha lle­na­do su casa de te­le­vi­sio­nes que si­guen fun­cio­nan­do, de elec­tro­do­més­ti­cos que aún se usan, de pa­ne­les ener­gé­ti­cos, o sis­te­mas de ca­le­fac­ción co­nec­ta­dos, que están en EoL y que, por­que no ten­gan par­ches deban des­co­nec­tar­lo, no es algo que mu­chos quie­ran/que­ra­mos hacer. Pero es el mundo de los pro­duc­tos hard­wa­re con­ver­ti­dos en pro­duc­tos soft­wa­re. Y ahora con LLMs en EoL puede ser una fies­ta. ¿Ten­dre­mos un "rise of the ma­chi­ne"? ¡Sa­lu­dos Ma­lig­nos! Autor: Chema Alon­so ( Con­tac­tar con Chema Alon­so ) Únete al foro de Ci­ber­se­gu­ri­dad de Chema Alon­so en My­Pu­bli­cIn­box Sigue Un in­for­má­ti­co en el lado del mal RSS 0xWord - Con­tac­ta con Chema Alon­so en My­Pu­bli­cIn­box.com…