Интернет Вредных Вещей.

В начале бородатых 2000-х во время выступлений я налаживал контакт с аудиторией при помощи следующего «кассандризма»: земля налетит на небесную ось «в недалёком будущем холодильник будет спамить микроволновку, а вместе они будут дэдосить кофеварку».

Аудитория улыбалась, лёд таял, выступления сопровождались овациями и оформлялись публикациями. «Кассандризм» принимали за милую шутку, которая тут же тонула в более актуальных угрозах типа Интернет-червей и макро-вирусов. А я не шутил. Уже тогда было ясно к чему дело клонится.

«Умный быт» медленно, но уверенно вполз в наши дома.

В некоторых домах немного и незаметно, в некоторых крепко и глубоко, а некоторые дома сразу проектируются по smart концепции. «Умные» камеры, холодильники, микроволновки, кофеварки, термостаты, утюги, телевизоры, стиралки-сушилки, фитнес-браслеты и прочие домашние питомцы обзавелись вайфай-чипом, присосались к роутеру и организовались в гигантский, автономный и весьма уязвимый Интернет Вещей, который размерами превосходит Интернет Людей.

Массовое подключение электроники к Интернету вызывает много вопросов и «зачем?» имеет наиболее очевидный ответ. Разумеется, управлять всем и вся удалённо, с мобильника очень даже удобно и, что немаловажно — трендово. Но как это было сделано дало возможность моему «кассандризму» реализоваться на практике.

источник

Немного свежих фактов:

В прошлую пятницу более 80-ти крупных вебсайтов, включая Twitter, Amazon, PayPal и Netflix работали так себе или не работали вообще. Стали разбираться – оказалось, что сие есть следствие DDoS-атаки против провайдера Dyn, предоставляющего указанным сайтам DNS-сервисы. Ну, подумаешь, DDoS-атака – в Интернете всякое случается. Но стали копать дальше и выяснили, что Dyn атаковал ботнет Mirai, состоящий из… камер видеонаблюдения, DVR-станций и других прибамбасов из Интернета Вещей  (IoT).

Mirai оказался довольно простой малварой, которая ищет в сети IoT-устройства, подключается к ним с помощью дефолтовых логин-паролей, получает админские права и выполняет команды хакеров. А поскольку редкий пользователь таких устройств меняет дефолтовые логин-пароли, то рекрутировать в ботнет несколько сот тысяч зомби не составило труда.

Ещё раз:

Простенький ботнет, созданный любителями и состоящий из всякой «умной» бытовухи, смог на некоторое время положить крупнейшие сайты Интернета. Ранее он также был замечен в самой мощной в истории DDoS-атаке на блог Брайана Кребса – пиковая мощность достигала 665 Гбит/с и спасти от неё смог только Google.

Что-то мне подсказывает, что в ближайшее время понадобится много попкорна и антидепрессантов. Размер Mirai оценивают где-то в 550 тыс. ботов, а всего Интернет Вещей – это от 7 до 19 млрд. устройств (в пятилетней перспективе – до 50 миллиардов). Сколько из них уязвимы? Сколько из них можно завербовать для хакерских атак? Сложно ответить, но ясно другое – у Mirai очень, очень большой потенциал. Особенно, учитывая публикацию исходного кода малвары на подпольных форумах и доступность технологии для широкого круга ещё менее профессиональных любителей с геростратовой манией величия.

Владельцы заражённых IoT-устройств вряд ли заметили, что принимали участие в этой атаке. Не исключено, что прямо сейчас IP-камера уважаемого читателя дэдосит ещё какой-нибудь уважаемый ресурс. Сомнительно также, что незначительный скачок исходящего трафика мотивирует пользователя обеспечить базовую безопасность этих гаджетов (вроде смены дефолтовых логин-паролей). Однако, есть другие киберугрозы, которые могут сделать жизнь «умного» дома ночным кошмаром, а кошелёк его владельца существенно легче.

Скрытая угроза

Я не берусь оценивать сколько миллиардов и какой валюты заработали за последние годы кибер-вымогатели, но догадываюсь, что (i) много (ii) долларов. Несмотря на действия полиции и секюрити-индустрии эпидемия всевозможных шифровальщиков и блокировщиков накрыла Интернет так, что редкий активный пользователь может козырнуть тем, что ни он/она, ни его/её знакомые ни разу не становились жертвами таких атак.

Ransomware-бизнес процветает, а какой бизнес не мечтает процветать ещё больше? А тут как раз под боком всплывает миллиардное облако незащищённых IoT-устройств. И только владельцам этих устройств кажется, что их холодильник или микроволновка никому не нужны. Впрочем, они правы – кибер-негодяям действительно нужен не холодильник, а выкуп за него. Догадываетесь?

А чтобы вообще не осталось сомнений о возможности ransomware-атак на «умную» бытовуху, то вот такая милая фотка сетевого термостата:

источник

Не открывается дверь? Окоченели батареи? Кофеварка наливает виски чай? Повесился пылесос? Увы, это уже не шутки о проделках хакеров для разогрева публики, но очень вероятная реальность.

Как случается на новых рынках, в погоне за функциональностью производители IoT-устройств пренебрегли безопасностью. Да, конечно, рядом есть мы (в смысле секюрити-индустрия) со специализированной экспертизой и готовыми решениями (ага, а тестовые лаборатории будут напоминать магазин бытовой техники :). Но гора стремительно убегает от Ходжи Насреддина – производители заняты конкурентной борьбой и безопасность не входит в список их приоритетов, а пользователи не ощущают реалистичность угрозы.

Неспроста в этом посте «умный» всегда в кавычках – весь ум этих устройств, плюс-минус, уместился в способности удалённого управления с мобилки. Производителям предстоит добавить ещё много всестороннего ума, чтобы снять кавычки. Трудно сказать, сколько для этого потребуется времени, так что спасение мира и кошелька сейчас полностью в наших руках. Посему предлагаю уважаемому читателю заняться этим полезным делом прямо сейчас при помощи следующих несложных действий с всеми IoT-устройствами домашней сети, включая роутеры, принтеры и метеостанции:

Делай раз: меняем логин-пароли, даже если они уже не дефолтовые.

Делай два: устанавливаем доступные патчи с сайта производителя.

Делай три: ставим напоминалочку в календаре делать упражнения раз и два каждые три месяца!

И да будет Брайан Кребс и Глобальный Интернет вам за это благодарны, а вы да никогда не увидите такой картины в реальности: