Устройством Интернета вещей (IoT) может быть что угодно: от кофеварки до фитнес-браслета или термостата. Все они созданы, чтобы сделать нашу жизнь удобнее. Но что случится, если они начнут наносить вред? Это сложно представить, но такие полезные устройства, столь охотно принимаемые нами в обиход, могут быть заражены или взломаны для перехода на «темную сторону».

Темная сторона Интернета вещей

«Защита устройств Интернета вещей оставляет желать лучшего — практически любое подключенное устройство можно сделать ботом и использовать для совершения преступлений в составе ботнета»

Ботнеты сегодня используются преимущественно для совершения DDoS-атак и добычи криптовалют (с этой целью используют даже видеорегистраторы), но сеть из сотен тысяч устройств Интернета вещей способна на большее. Ботнеты могут рассылать спам, например, фишинговые сообщения с вредоносным ПО, используемым для кражи паролей и денежных средств. Такие рассылки могут использоваться и для реализации различных финансовых схем путем убеждения людей покупать акции определенных компаний. Кроме того, ботнеты популярны для атак с применением кликджекинга, распространения ложной рекламы или, что еще хуже, заражения других устройств Интернета вещей.

Темные секреты прячутся в темных углах

Как и большую часть вредоносного ПО, ботнеты можно найти на торговых площадках даркнета. Их можно взять в аренду, а их исходные коды могут продаваться или даже попадать в открытый доступ, как это произошло в случае с Mirai. Цены разнятся от десятков до сотен долларов в зависимости от типа задачи и количества ботов. В случае DDoS-атак цены зависят от силы и продолжительности атаки.

Конкурентная природа даркнета приводит к соперничеству некоторых ботнетов между собой. Если IoT-устройство уже заражено, другой ботнет может попытаться заменить вредоносный код собственным. В некоторых случаях он еще и «исправляет» уязвимости предыдущего, чтобы предотвратить повторное заражение и сохранить контроль над уязвимым устройством.

Устройства Интернета вещей становятся опасными

Сегодня задачи, выполняемые IoT-устройствами в составе ботнета, могут показаться не слишком опасными. Но что случится, если киберпреступники пойдут дальше?

Мы уже знаем, что заразить целую сеть Интернета вещей можно через одно устройство. Экспериментальные атаки показали этот механизм в действии. В одном из примеров исследователи изменили встроенное ПО осветительной лампы и получили возможность изменить и ПО соседних «умных» ламп. В другом случае исследователь Сезар Керрудо доказал, что способен взломать систему управления движением транспорта и изменить транспортный поток. В своем выступлении на Def Con он объяснил, что смог заразить датчики движения транспорта, расположенные на улицах, при помощи червя в обновлении для встроенного ПО, который затем мог заразить и остальные датчики.

«В одном из примеров исследователи изменили встроенное ПО осветительной лампы и получили возможность изменить и ПО соседних «умных» ламп»

Такие экспериментальные атаки могут казаться невинными, пока мы не осознаем, что вокруг нас развиваются «умные» города. Уже через несколько лет населенные пункты по всему миру могут быть полностью подключенными к сети. Если устройства и системы Интернета вещей не получат должной защиты, злоумышленники, правительства и даже террористы смогут получить над ними контроль и вызвать полный хаос в городах, управляя всем освещением или транспортными потоками. И это лишь несколько примеров.

Кроме взлома ради проведения атак на города, устройствам Интернета вещей могут угрожать и программы-вымогатели. Когда в феврале программой-вымогателем была заражена компьютерная система отеля, постояльцы не могли попасть в свои номера, так как зараженная система использовалась и для программирования электронных карт-ключей. А теперь представьте, что зараженным программой-вымогателем оказался ваш термостат. Заплатите ли вы за то, чтобы вернуть контроль над температурой в собственном доме?

«Если устройства и системы Интернета вещей не получат должной защиты, злоумышленники, правительства и даже террористы смогут получить над ними контроль и вызвать полный хаос в городах, управляя всем освещением или транспортными потоками»

Киберпреступники могут сделать мишенью программ-вымогателей не только «умные» домашние устройства. Они могут организовывать атаки на известных людей или промышленные предприятия.

Интернет вещей: шпионские страсти

Полное пренебрежение рисками, связанными с Интернетом вещей, делает возможными утечки личных данных и отслеживание перемещений устройств. Подумайте, сколько информации могут собирать IoT-устройства. Веб-камеры могут наблюдать за всем, что происходит перед ними, «умные» телевизоры и КПК могут записывать звук, «умный» автомобиль может дать понять, дома ли его хозяин.

Объем собираемых данных зависит от типа устройства, но способ их отправки производителю, как и способ хранения, выбирает производитель. Общей тенденцией, которой следуют и устройства Интернета вещей, сегодня стало хранение всех данных в облаке. Отправляемая через мобильный телефон команда может обойти половину мира и пройти через несколько серверов, прежде чем действие будет выполнено. Если эта информация не имеет должной защиты, ее могут перехватить или перенаправить на сервер злоумышленников, а затем использовать в своих целях. Более того, злоумышленники могут получить доступ к данным, которые хранятся производителями, и получить массу личной информации, как тип устройства, IP-адрес, сведения о других устройствах в этой сети, данные о расположении и многое другое.

«Существуют поисковые системы Интернета вещей, в которых можно найти огромное количество уязвимых IP-камер – и воспользоваться ими может практически кто угодно»

Разумеется, злоумышленникам нет нужды взламывать сервер компании, чтобы собрать информацию о вас. Они могут обратиться непосредственно к источнику. Существуют поисковые системы Интернета вещей, в которых можно найти огромное количество уязвимых IP-камер, которые имеют стандартные данные для входа администратора. Воспользоваться ими может практически кто угодно. Эти камеры расположены в магазинах, на заводах, складах, автостоянках. Более того, они есть и в домах, гаражах, спальнях и гостиных. Люди, использующие такие «общедоступные» камеры, и не подозревают, что посторонние могут наблюдать за каждым их шагом.

Представьте, что злоумышленник получит доступ ко всем устройствам Интернета вещей в чьем-то доме или к большинству из них. Он получит возможность отслеживать передвижения, слышать частные разговоры, чтобы затем провести нацеленную атаку на этого человека или продать собранную информацию в даркнете тем, кто пожелает ей воспользоваться.

Как лучше защитить устройства Интернета вещей?

Доступный и эффективный способ значительно укрепить защиту Интернета вещей — дать пользователю возможность без труда изменять учетные данные своих «умных» устройств. Чтобы подтолкнуть пользователей к изменению учетных данных своих устройств Интернета вещей, производители могут, к примеру, сделать создание уникального и надежного пароля обязательным во время первой настройки устройства. Это не универсальное решение, но даже простая смена заданных по умолчанию учетных данных может серьезно снизить количество незащищенных устройств Интернета вещей и усложнить их взлом для любителей и простых поисковых ботов. Другая возможность — создание производителем уникальных и случайных паролей для каждого устройства, которые будут передаваться покупателю вместе с изделием.

Не менее важная задача — выпуск обновлений ПО, который поможет устранить уязвимости. Производители часто используют устаревшие версии различных библиотек и операционных систем, для взлома которых уже существует множество инструментов, что делает устройства беззащитными перед атаками. Многие устройства не позволяют обновлять встроенное ПО, поэтому единственным выходом при атаке с использованием уязвимостей является полное отключение устройства от сети и его замена на более защищенный аналог.

«Производители часто используют устаревшие версии различных библиотек и операционных систем, для взлома которых уже существует множество инструментов, что делает устройства беззащитными перед атаками»

Защита устройств IoT не только обеспечивает конфиденциальность пользователей и помогает избежать DDoS-атак, но и может предотвратить намного более серьезные неприятности. Экспериментальные атаки показали, как целые сети Интернета вещей можно заразить через одно устройство, например, лампочку или датчик движения. Такие экспериментальные атаки показывают, насколько серьезной проблемой могут стать уязвимые «умные» устройства и сколь велик может оказаться ущерб при их попадании под контроль недобросовестных людей. Представьте, что злоумышленники смогут контролировать транспортный поток или отключить освещение в целом городе. Производители «умных» устройств должны сотрудничать со специалистами в области безопасности, чтобы оснастить свои устройства защитой, и проводить регулярные испытания своих продуктов на устойчивость к взлому.

Будущее устройств Интернета вещей

Общее число IoT-устройств стремительно растет. Сложно предугадать, какая еще повсеместно используемая вещь окажется подключенной к неуправляемому миру Интернета вещей. Рост числа «умных» устройств увеличивает количество возможных атак. Многие из таких гаджетов — фактически миниатюрные компьютеры, подключенные к Интернету или другим сетям, оснащенные собственной операционной системой и способные выполнять внушительный набор вычислительных операций. Благодаря этому их возможности нередко превосходят наши ожидания.

Чем больше мы окружаем себя устройствами Интернета вещей, тем больше стимулов у киберпреступников сделать их своей мишенью. Все мы можем представить, как можно злоупотребить отдельными «умными» устройствами и какие проблемы могут возникнуть, если производители не начнут уделять внимание защите своих продуктов. Сфера Интернета вещей все еще сравнительно молода. Надеемся, что со временем мы увидим значительное усовершенствование защиты подключаемых к Интернету устройств.

Следите за нашими новостями в социальных сетях ВКонтакте, Одноклассники, Facebook и Twitter. Текст подготовлен с использованием материалов портала Downtown.