אין מספיק עדויות לכך שהאינטרנט של הדברים הבוטנט קיים למעשה

היה דיווח בשבוע שעבר על botnet דואר זבל שמשתמש במכשירי "אינטרנט של דברים" - מקרר, אפילו! - אבל הראיות התומכות בטענה זו מרגישות מעט נסיבתיות.

כפי שדיווחה PCMag.com בסוף השבוע שעבר, חברת אבטחת הענן Proofpoint טענה כי botnet שלחה 750, 000 הודעות דואר זבל בגלים בין 23 לדצמבר ו -6 בינואר. בעוד שרוב ההודעות נשלחו באמצעים קונבנציונליים, כמו מחשבים אישיים ומכשירים ניידים. "יותר מ 25 אחוז הגיעו ממקורות לא מסורתיים, כולל" 100, 000 גאדג'טים צרכניים יומיומיים, כגון נתבים ברשת ביתית, מרכזי מולטימדיה מחוברים, טלוויזיות ולפחות מקרר אחד ", אמר Proofpoint.

החוקרים הזהירו שוב ושוב כי הפופולריות הגוברת של מכשירים חכמים ומכשירים (ה- CES השנה נשלטה מאוד על ידי "אינטרנט של דברים") פירושה שהתוקפים יתחילו לנצל את המכשירים הללו כדי להפעיל פיגועים. Security Watch אפילו הדגיש את הפגיעויות ב- Internet of Things כחלק מההסתכלות עליה לשנת 2014. עם זאת, הדו"ח של Proofpoint אינו מהווה הוכחה מוחלטת לכך שבוטנט שכזה כבר קיים.

מבט על טענות Proofpoint

כדי להיות ברור, אין שום דבר שקופץ בדו"ח של פרופוינט כבלתי אפשרי. התוקפים ניצלו את העובדה שרבים מהמכשירים הרשתיים הללו עדיין היו עם סיסמאות ברירת מחדל או שהוגדרו בצורה לא נכונה, אמר Proofpoint. זה לא חדש, מכיוון שהחוקרים הדגימו כיצד להתקין קושחה אחורית על נתבים פגיעים מאז שנת 2008.

חברת Proofpoint הזהירה כי הפופולריות הגוברת של Internet of Things תעודד את התוקפים לנסות לפרוץ מכשירים אלה. בהתחשב בכך שרבים מהמכשירים מפעילים מערכת הפעלה או לינוקס מסוג כלשהו, ​​ויותר ויותר, אנדרואיד, זה גם מתקבל על הדעת. כמה חוקרים הדגימו התקפות נגד מכשירים שאינם מחשבים אישיים ב"הכובע השחור "ו- DEFCON בשנה שעברה, כולל מכוניות, טלוויזיות חכמות של סמסונג ומצלמות מעקב ביתיות. צרכנים בדרך כלל לא חושבים על עדכון הקושחה בנתבים האלחוטיים שלהם, קל וחומר על הטלוויזיות שלהם ופתחי דלת המוסך. אין ספק כי המכשירים הללו בשלים לפשרה.

"האינטרנט של הכל אומר שהכל ניתן לפריצה", אמר מייקל דיילי, סמנכ"ל שירותי הביטחון ברשת ומשימות מיוחדות ברייתאון. ל- Security Watch .

אז אם בוטנט של Internet of Things, או "דברים", כפי שמכנה זאת Proofpoint, מה הבעיה? העניין הוא שהדו"ח של Proofpoint לא מספק הרבה פרטים על הבוטנט עצמו. אין מידע על איזה סוג של שרת פיקוד ובקרה בנט נטען כביכול, או אפילו כיצד החוקרים הגיעו לכתחילה עם מספר 100, 000.

אמנם יתכן שמכשירים חכמים היו מחוברים ישירות לאינטרנט, אך לרוב הרשתות הביתיות יש מספר מכשירים המחוברים לנתב. בשלב זה לא ברור כיצד החוקרים הצליחו לדעת כי דואר זבל נשלח על ידי מקרר שנפגע, ולא, למשל, מכונה של Windows שנפגעה באותה רשת. נתבים צרכניים משתמשים בדרך כלל בתרגום כתובות רשת (NAT) כך שכל התעבורה שיוצאת לאינטרנט משתמשת באותה כתובת IP הפונה לציבור, במקום שלכל מכשיר תהיה כתובת משלה.

במאמר מוסגר זה ישתנה עם IPv6, אבל אני תוהה האם מספיק רשתות ביתיות מאפשרות IPv6 כרגע בכדי לעשות את ההבדל בדו"ח זה.

ספקנות, לא אמונה

Proofpoint ציין גם כי הבוטנט הגביל את הדואר שנשלח לעשר הודעות דואר זבל לכל כתובת IP. זה נראה כמו עבודה שלמה עבור כל כך מעט רווח. שולחי דואר זבל בדרך כלל מפיצים כמה שיותר הודעות דואר זבל - שליחת נפחים קטנים לאורך זמן זה לא ממש חלק מה- MO המסורתי שלהם

כפי שהיא עומדת, אין דבר שאומר ש- Proofpoint אינה נכונה בטענותיה בנושא "Internet of Things (IoT) מבוסס-המוכח הראשון", אולם גם אין מספיק ראיות לקבל את הטענה הזו בערך הנקוב. Ars Technica היה ספקן ביחס לבוטנט הספציפי הזה וביקש מפול רויאל, מדען מחקר בג'ורג'יה טק המתמחה באבטחת רשת ומערכות, לשקול. "המצרף של המידע אינו מצייר תמונה משכנעת כראוי שמה שהם הטענה שהתרחשה אכן התרחשה, "אמרה רויאל לארס טכניקה.

עם זאת, עלינו להתחיל לחשוב על דרכים להתחיל להגן על המכשירים שלנו.

ניתן להתפשר על מכשירים חכמים אלה באותה צורה של מכשירים ניידים: באמצעות אפליקציות. כשם שניתן להתפשר על מכשירים ניידים אם מותקנת אפליקציה זדונית, חלק מהמכשירים הביתיים והמכשירים הרשתיים הללו עשויים לתמוך באפליקציות כמו טוויטר ופייסבוק, אמר כריסטיאן קרנק, חוקר אבטחה בחברת TrainACE. במקרה של תיבת טלוויזיה מעולה או טלוויזיה חכמה, המשתמש עלול להיות מרומה להוריד משהו זדוני. הבית הממוצע לא צריך להוריד אפליקציות שיאפשרו למכשיר לבדוק הודעות, לגשת לאנשי קשר, לשלוח הודעות SMS / MMS או לבצע שיחה, אמר קרנק. המשתמשים צריכים גם להפוך את זה לנקודה להפעיל את חומת האש המובנית בנתבים שלהם.

אין צורך לחכות עד שהתוקפים יתפשרו בהצלחה בטלוויזיות, מקררים, תרמוסטטים לפני שנתעורר לביטחון.