El ataque de denegación de servicio (DDoS) sufrido por el ISP Dyn el pasado 22 de Octubre donde se vieron involucradas millones de direcciones IP evidencia que la vulnerabilidad y utilización de dispositivos IoT en ataques dirigidos es un amenaza avanzada a tomar en cuenta. En este post revisaremos siete de estas tecnologías que son candidatas para ser utilizadas de nuevo en futuras ofensivas.

El mencionado ataque del pasado 22 de Octubre fue catalogado como "sofisticado y altamente distribuido". La compañia de internet publicó una entrada en su blog donde investigaciones preliminares revelan que parte del ataque fue realizado por millones de dispositivos IoT (Internet of Things) como cámaras de circuito cerrado y dispositivos inteligentes en el hogar fueron infectados y secuestrados por la botnet Mirai la cual los uso en contra los servidores de Dyn. Este malware fue usado previamente en el ataque reciente al sitio "Krebs on Security" y en otros dirigidos a servicios de inteligencia extranjera.

Dyn juega un papel crítico en la infraestructura de la Web donde sirve escencialmente como la versión de Internet de las páginas amarillas. Al ser atacada su arquitectura, afecto ralentizando y en ocasiones dejando no disponibles una gran cantidad de sitios importantes, incluyendo Twitter, Tumblr y Amazon.com.

 LAS SIETE AMENAZAS IOT

1. Routers de redes caseras: De todos los dispositivos conectados a Internet en los hogares en estos días, el router de la red sigue siendo el mayormente atacado. Un estudio de 653 profesionales de TI y cerca de 1.000 empleados a distancia realizado por Tripwire, que mostró un 80% de los routers inalámbricos de mayor venta para pequeñas oficinas domésticas tiene vulnerabilidades de seguridad. Además más del 50% de todos los routers en todo el mundo tienen el usuario y contraseña por defecto o combinaciones básicas, como "admin" y "password", mientras que un 25% adicional tenía como contraseña la dirección del usuario, cumpleaños o su nombre. No es sorprendente que los atacantes toman ventaja de los routers domésticos vulnerables para enviar spam, crear botnets y el lanzar ataques DDoS.
2. Digital Video Recorder (DVR): Estos dispositivos utilizados comunmente en los hogares para grabar programas de televisión se han convertido en un blanco favorito de los atacantes y han sido utilizados en los ultimos ataques DDoS. Son entregados con mínimos o sin controles de seguridad, la mayoría estan conectados a internet con passwords por default y ya que la mayoria son integrados con partes de los mismos fabricantes por ende una falla de seguridad en un producto es altamente probable se replique en varios más.
3. Dispositivos Smart (Refrigeradores, TV. etc.): En Enero de 2014 un investigador del fabricante Proofpoint que analizaba spam y otras amenazas descubrió que por lo menos un refrigerador conectado a Internet que era utilizado para entregar spam, este incidente fue la primera prueba de que estos dispositivos tienen el suficiente poder para ser utilizados en botnets o  aún mas preocupante como puntos de acceso a una red.
4. Dispositivos Médicos Implantables: Las vulnerabilidades en dispositivos médicos implantables con capacidad inalámbrica tales como bombas de insulina, marcapasos y desfibriladores los convierten en blancos atractivos para los ataques maliciosos. En los últimos años, los investigadores de seguridad han demostrado cómo los atacantes pueden aprovechar los protocolos de comunicación sin cifrar y, en general débiles en este tipo de dispositivos para obtener el control remoto de ellos y conseguir que se comporten de una manera potencialmente letales.
5. Sistemas SCADA: Pocas personas piensan que los sistemas SCADA (Supervisory Control and Data Acquisition) que se utilizan para gestionar los equipos de control industrial e infraestructura crítica son parte de IoT, lo son y poseen vulnerabilidades que los hacen blancos atractivos para el cibercrimen. Hasta hace relativamente poco no estaban conectados a Internet y por tanto no requerian el mismo tipo de controles de seguridad que otros sistemas conectados, pero ahora tienen esta capacidad activa  por lo que los ataques a estos sistemas podrían tener consecuencias físicas sustanciales. En 2007,  investigaciones del rubro han demostrado cómo los atacantes podrían destruir una red eléctrica a través de ellos ya que controlan los equipos pero el daño físico no es la única preocupación se puede utilizar sistemas SCADA comprometidos en ataques DDoS o de ransomware.
6. Monitores de Bebé: Estos productos de consumo utilizados para monitorear bebes son vulnerables a ataques o ser comprometidos, poseen contraseñas propias de sistema imposibles de cambiar, comunicaciones no cifradas, elevación de privilegios, cuentas backdoor entre otras fallas de seguridad que pueden permitir a un atacante alterar su funcionamiento, tomar control total o interceptar el video transmitido. Incluso pueden ser utilizados como pivote para hacer movimientos laterales en una red no segmentada por ejemplo si alguien realiza trabajo desde casa conectandose a su red corporativa corre un alto riesgo.
7. Automoviles conectados: Es una realidad que desde hace algunos años existen automoviles que poseen numerosos componentes que son accesables a través de la red por lo tanto estan expuestos y son blanco del cibercrimen.Los ejemplos más dramáticos siguen siendo parte de los investigadores de seguridad Chris Valasek y Charlie Miller de Centro de Tecnología Avanzada de Uber. Durante los últimos dos años, los investigadores han demostrado cómo podrían explotar las debilidades de un controlador de red en un Jeep Cherokee para obtener el control remoto de los sistemas de acelerador, freno y dirección del vehículo. Los investigadores han realizado tambien ataques prueba exitosos en modelos de Toyota y Ford.

 SI DESEAS EVALUAR GRATUITAMENTE TU ESTRATEGIA DE CIBERSEGURIDAD (INCLUYENDO SISTEMAS SCADA) CON UN EXPERTO  PUEDES GENERAR UNA CITA AQUÍ

Si tienes algún comentario o requerimiento adicional puedes contactarme en mi dirección de correo electrónico: mtorres@smartekh.com  

*Javier E. David/ CNBC - Jai Vijayan/DarkReading Oct. 2016