La firma de electrodomésticos Smarter se ha destacado como una de las compañías más reconocidas de dispositivos de Internet de las Cosas (IoT). La seguridad de sus productos también ha llamado la atención, aunque puede que no sea por las razones correctas.
Después de que los expertos de Pen Test Partners encontraran serias fallas en iKettle y Coffe Maker, dos de los productos más populares de la compañía, Smarter respondió lanzando versiones actualizadas que incluían un nuevo chipset para corregir los problemas., aunque muchas versiones inseguras de estos dispositivos siguen siendo ampliamente utilizadas en toda clase de entornos.
Al detectar esto, el investigador de Avast Martin Hron realizó ingeniería inversa en una de las versiones inseguras de estas cafeteras y determinar el alcance de las vulnerabilidades. Después de unos días, Hron concluyó que es posible realizar toda clase de actividades maliciosas de forma relativamente fácil; el investigador pudo manipular diversas funciones del electrodoméstico e incluso publicar amenazas de ransomware en la pantalla. El único modo de detener la actividad maliciosa es desconectando el dispositivo de la corriente.
En su informe el investigador afirma que el ataque es 100% factible y podría presentarse de forma similar en otros dispositivos IoT: “No se tiene que configurar nada, las fallas están listas para ser explotadas apenas se empieza a usar el dispositivo”, menciona Hron.
Por ejemplo, Hron descubrió que cualquier cafetera Smarter podía ser usada como un punto de acceso WiFi empleando una conexión no asegurada para comunicarse con su propia app móvil. A su vez, esta app se usa para configurar el dispositivo y, en caso que el usuario así lo decida, conectarlo a la red WiFi de su hogar.
Debido a que esta conexión no estaba protegida, Hron pudo entender el vínculo entre la app y el dispositivo, descubriendo además que era posible controlar el electrodoméstico con una app maliciosa. Las múltiples omisiones de seguridad permitieron al investigador realizar ingeniería inversa en la aplicación de Smarter para Android, con lo que obtuvo todo lo necesario para manipular el funcionamiento de estos dispositivos a voluntad.
“Creímos que estas acciones bastarían para asustar a cualquier usuario de dispositivos vulnerables”, mencionó Hron. Además, el ataque puede comenzar simplemente buscando dispositivos conectados a una red WiFi o vía el SSID que emite el electrodoméstico. Como se menciona anteriormente, el ataque solo puede ser interrumpido desconectando el dispositivo, aunque la complejidad de su implementación reduce considerablemente las probabilidades de explotación.
Trabajando como arquitecto de soluciones de ciberseguridad, Alisa se enfoca en la protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad dentro de una variedad de empresas de seguridad cibernética. También tiene experiencia en diferentes industrias como finanzas, salud médica y reconocimiento facial.
Envía tips de noticias a info@noticiasseguridad.com o www.instagram.com/iicsorg/
También puedes encontrarnos en Telegram www.t.me/noticiasciberseguridad
