Niebezpiecznik

Ten tytuł to nie clickbait. Okazuje się, że jest całkiem spora grupa mężczyzn, która korzysta z gadżetu o nazwie Cell Mate, który jest czymś na kształt pasa cnoty dla mężczyzn używanym podczas praktyk BDSM. Przy czym jest to pas cnoty inteligentny, czyli podłączony do internetu i sterowany przez aplikację mobilną. Domyślacie się więc, co mogło pójść nie tak…

Your cock is mine now!

Smelly, twórca znanego w branży bezpieczeństwa repo z malwarem (vx-underground) pochwalił się kilka dni temu screenshotem przedstawiającym fragment kodu złośliwego oprogramowania, w którym jednym z komunikatów jest:

“hahaha, teraz twój fiut jest mój, prześlij 0.02 BTC (bitcoin) albo będziesz uwięziony na zawsze”

Sprawa zainteresowała dziennikarzy Vice, którzy dotarli do kilku ofiar tego złośliwego kodu i porozmawiali z nimi. Jedną z ofiar był “Robert”, który zdradził, że szczęśliwie dla niego, nie nosił on w chwili ataku pasa cnoty, ale faktycznie jego sex zabawka została zablokowana. Zdalnie. Jak to możliwe?

Na czym polegała dziura?

Okazuje się, że atakujący skorzystał z “niedopatrzenia” producenta sex-gadżetu. To niedopatrzenie zostało opisane już w październiku 2020, kiedy jeden z testerów penetracyjnych odkrył, że producent seks zabawek, firma Qiui niewystarczająco zabezpieczyła swoje API. Gadżet jest sterowany przez Bluetooth z poziomu aplikacji mobilnej, ale ta łączy się z chmurą producenta, a wykryty błąd pozwalał tę część komunikacji zmodyfikować tak, żeby aplikację ogłupić. Przy okazji badacz pozyskał nazwy 40 000 zabawek, ich numery seryjne oraz pobrać lokalizacje użytkownika (ujawnianą przez smartfon właściciela):

Mapa potencjalnych ofiar, fot. Pentest Partners

Producent w odpowiedzi na zgłoszenie badacza wypuścił aktualizację aplikacji, ale nie usunął starego, dziurawego API. I właśnie to do ataku wykorzystali twórcy “ch###wego ransomware”. Domyślamy się, że za pomocą API nie tylko przesłali komendę “zablokuj” ale także wymuszali zmianę hasła, klucza API, albo w inny sposób przepinali czyjeś urządzenie na siebie, zostawiając jego właściciela z zatrzaśniętym pasem cnoty, który nie ma żadnego “fizycznego” przycisku do awaryjnego odblokowania.

Sytuacja nie jest jednak beznadziejna. Jak informuje badacz, okazuje się, że aby się uwolnić, trzeba podważyć wierzch blokady i przeciąć biały przewód :)

Kolega ma… sami wiecie co — co robić, jak żyć?

Wiele razy, przy wielu okazjach radziliśmy (por. bepieczeństwo pracy zdalnej), aby nie podłączać do internetu rzeczy, które nie muszą być do niego podpięte i aby wyłączać bluetooth, kiedy nie jest on wykorzystywany, bo w krytycznym przypadku lodówka zhackuje Twój samochód.

Dziś, w kontekście tego ataku, ograniczymy się jedynie do prostego:

Jeśli w jakiejś rzeczy umieszczasz swoje przyrodzenie, nie podpinaj jej do internetu. Nawet jeśli praktykujesz BSDM. Hackerzy nie usłyszą Twojego “safe word”.

Wygląda na to, że rok 2021, jeśli chodzi o ataki, zaczyna się dość ch…owo.

PS. Czekamy na odpowiedniego moda do Cyberpunka ;)

Przeczytaj także:

• Zakłada kłódki na samochody i domaga się okupu
• CD Projekt informuje o ataku ransomware na swoją sieć
• Zainfekowany wirusem idzie na policję …i zostaje aresztowany za dziecięcą pornografię