כך גורמים למכונת קפה להשתגע ולדרוש מכם דמי כופר

זה אולי נשמע משעשע – עד שמבינים את הפוטנציאל

תמונה: Avast

אתם באים בבוקר למשרד או למטבח להכין קפה במכונה המשוכללת שלכם, לוחצים על הכפתור הקבוע כשלפתע המכונה מתחילה להתיז מים רותחים, לעשות רעש ולהציג לכם הודעה שדורשת מכם תשלום תמורת הפסקת הטירוף. לא נעים, ונשמע כמעט דמיוני, אבל חוקר אבטחה הצליח לממש את התרחיש הזה וטוען שזוהי רק הדגמה לאסון האמיתי שיבוא בעתיד.

מכונת הקפה ננטשה על ידי החברה, אבל יש האקרים שישמחו לאמץ אותה

מרטין הרון, חוקר אבטחה ב-Avast, קנה מכונת קפה די בסיסית של חברה בשם Smarter שמאפשרת לכם להכין קפה בלחיצת כפתור כאילו אתם בעידן האבן, או להכין את הקפה באמצעות אפליקציה ורשת האלחוטית של הבית או המשרד שלכם. הרון שם לב, שכשחיבר את המכונה לחשמל לראשונה ורצה להגדיר את החיבור לרשת האלחוטית, המכונה עברה ל-Local Mode ויצרה רשת וויפי משל עצמה (AP) לצורך תהליך ההתקנה. הרון הוריד את האפליקציה של המכונה וגילה שהמכונה מבוססת על פרוטוקול בינארי פשוט ללא כל הצפנה או מנגנון אימות, מה שאומר שגם אפליקציה זדונית או ערוכה יכולה להשתלט על המכונה.

אז הרון החליט לעשות את כל מה שכל אחד מאיתנו היה עושה, והחליט לבדוק האם אפשר לחטוף את המכונה הזאת על ידי התעסקות ב-Firmware שלה. החוקר חובב הקפאין מצא למרבה ההפתעה שגם מנגנון העדכון של המכונה לא מוגן על ידי הצפנה, אימות או אפילו תהליך חתימת קוד בסיסי, ולאחר שהינדס לאחור את האפליקציה של המכונה, הוא אף פירק את המכונה כדי לגלות מהו המעבד שלה.

כל העדכונים מחכים לכם בערוץ הטלגרם של גיקטיים כל העדכונים מחכים לכם בערוץ הטלגרם של גיקטיים להצטרפות לערוץ הטלגרם שלנו לחץ כאן

עם המידע שגילה, הרון כתב קוד פשוט בפייתון שחיקה את תהליך העדכון של המכונה. במקור הוא רצה לשתול בו נוזקה שתכרה מטבעות קריפטוגרפיים מסוג מונרו (כפי שקורה פעמים רבות בנוזקות ברשת), אך גילה שהמעבד מסוגל להגיע למהירות של 8MHz בלבד, ולכן החליט ללכת על כיוון קצת יותר משעשע ולגרום למכונה להשתגע. “חשבתי שזה יהיה מספיק כדי לשגע כל משתמש ולהפוך את זה לחוויה מאוד מלחיצה. הדבר היחידי שהמשתמש יכול לעשות בנקודה הזאת הוא לנתק את מכונת הקפה מהשקע”, אמר הרון ל-ArsTechnica.

לא באמת, אבל עדיין מצחיק. תמונה: Avast

כל מה שצריך לעשות ברגע שאתם מחזיקים באפליקציה ובגירסת ה-Firmware הזדונית, הוא למצוא מכונה שעדיין לא הוגדרה לרשת הביתית של משתמש, ולהתחבר אליה. בתוך כ-20 שניות, המכונה תתעדכן עם הגירסה החדשה של הרון. בפעם הבאה שמישהו יגש למכונה וילחץ על אחד הכפתורים, על המסך תופיע הודעה שמבשרת שהמכונה נחטפה, וכדי לשחרר אותה תצטרכו להכנס ללינק שמופיע עם המסך בתוספת של אייקון שטני וצפצופים מעיקים. מיד לאחר מכן, המכונה מתחילה לפלוט מים רותחים ולהפעיל את מטחנת הקפה בלי הפסקה, עד שהמשתמש כאמור ינתק אותה מהחשמל.

הרון אפילו לא טרח לדווח על הפירצה ליצרנית המכונה, כיוון שזו מציינת באתר שלה שהמכונה שברשותו לא נתמכת יותר, ועל כן לטענתו היא אפילו לא תגיב לפניה. לפי מחקר אחר שהוא מציין, ישנן עוד 570 מכונות ממש כאלו שמעולם לא הותקנו, ועל כן הן עדיין במצב Access Point וחשופות למתקנה הזאת.

אתם קונים היום מכשיר חכם, אבל עד מתי הוא יתמך?

כמובן שיש בפירצה הזאת מגבלה ברורה: התוקף צריך להיות בטווח קליטת הרשת האלחוטית של המכונה החשופה (או להשתלט על ראוטר שנמצא בטווח שלה, אבל זו כבר בעיה חמורה הרבה יותר ממכונת קפה פרוצה). עם זאת, מזהיר החוקר כי עם עוד קצת התעסקות הוא יוכל גם להסב את מכונת הקפה למתקפה נוספת במסגרתה היא תתקוף את הראוטר, מחשבים או מכשירים אחרים שמחוברים לרשת האלחוטית.

עכשיו אתם יכולים לזלזל במכונת קפה פשוטה, אבל תמרור האזהרה המרכזי הוא מפני “מכשירי IoT נטושים”. כלומר, כל המוצרים שהתמיכה בהם הופסקה, ובכך הם נותרים חשופים לפירצות שונות. יש לא מעט מוצרים כאלו בשוק, והחשש הוא שמכשירי חשמל אחרים שאמורים להחזיק אפילו יותר מעשור (כמו מקרר ותנור) שהופכים בעצמם למחוברים לא בהכרח ייתמכו על ידי היצרניות, יש מי שישמח מאוד לנצל את זה כשהיום הזה יגיע. “אנחנו יוצרים צבא של מכשירים פרוצים ונטושים שיכולים לשמש לרעה למטרות שונות כמו פריצה לרשתות, הדלפת מידע, מתקפות כופרה ומתקפות DDoS”, טוען הרון.

המחקר המלא של הרון הכולל לא מעט הסבריים טכניים על התהליך זמין כאן.

עידן בן טובים

נולד עם ג׳ויסטיק ביד. יש לו הרבה יותר מדי גאדג׳טים והרבה פחות מדי זמן פנוי כדי לשחק עם כולם. בעל פטיש לא מוסבר לביצוע קליברציות לסוללות של מכשירים. כשהוא לא עסוק בלכתוב על טכנולוגיה, הוא אוהב לדבר עליה, והרבה

הגב

13 תגובות על "כך גורמים למכונת קפה להשתגע ולדרוש מכם דמי כופר"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 

* היי, אנחנו אוהבים תגובות!
תיקונים, תגובות קוטלות וכמובן תגובות מפרגנות - בכיף.
חופש הביטוי הוא ערך עליון, אבל לא נוכל להשלים עם תגובות שכוללות הסתה, הוצאת דיבה, תגובות שכוללות מידע המפר את תנאי השימוש של Geektime, תגובות שחורגות מהטעם הטוב ותגובות שהן בניגוד לדין. תגובות כאלו יימחקו מייד.

סידור לפי:   חדש | ישן | הכי מדורגים
דואלינגו
Guest

מגניב
איזה יופי

מלמד
Guest

אחלה עבודה של החוקר, עבודה חובבנית ביותר של החברה.
אבל… זאת חולשה שולית ביותר. ראשית, צריך להיות פיזית ליד המכונה כשהיא מופעלת לראשונה – זה כשלעצמו מוריד את הסיכון כמעט לאפס. שנית, לא מדובר ביצרן מאוד נפוץ שמחזיק בנתח שוק משמעותי. ולבסוף – כמה כופר כבר אפשר לסחוט מאדם ששילם סך הכל כ-180 פאונד על המכונה? כנראה שלא יותר מדי, בוודאי פחות מהמאמץ הכרוך באיתור של מכונה שטרם הופעלה ובהמצאות באותו חלל בעת הפעלתה.

עידו כסלו
Guest

העניין הוא לא המכונה. העניין הוא שעד 2030 בערך, כמות המכשירים הלא נתמכים כמו זה יהיה אדיר. מ-נורות (שפריצה אליהן יכולה לגרום לקצר בלתי נגמר עד לתשלום הכופר, כי לך תדע שזה בגלל הנורה שבחדר שליד) ועד תנורים (הרבה יותר מסוכן), אין תקן אחיד (ונפוץ, יש של Zigbee אבל רק הגדולות משתמשות בו) וכל חברה עושה מה שבא לה. זה יגמר באסון. לדעתי, חוקית, חובה להכריח חברות לתמוך במכשירים שלהן עצמאית לפחות עשור, או להצטרף לתקן כלשהו, ולחייב שיהיו לפחות שלושה תקנים עצמאיים לבחירה בכל זמן נתון, כדי לא ליצור מונופול וכדי לא להיות חשופים לגמרי לפריצה בתקן אחד.

Oren
Guest

יותר פשוט לנתק מכשירים מהרשת, למה אתה צריך לחבר תנור לרשת? או מקרר? או כל דבר אחר? אפשר להסתדר יפה גם בלי

בצל כחול
Guest

זה יתן מענה אבל זה לא הגישה כי הטרנד היום הוא לחבר הכל לאינטרנט.
למה? נוחות, שליטה, סנכרון, תמיכה מרחוק של היצרן. כמובן שזה מגיע עם סכנות (בעיקר כשהקוד כתוב כמו תחת).

לכל דבר אפשר למצוא יתרון בלחבר לאינטרנט.
מקרר לדוגמא יכול לזהות לבד שעומד להגמר לך החלב, גבינה, ביצים (מה שתגדיר לו) ולבד להזמין עוד מהסופר שלך).
תנור לדוגמא אולי יכול להתחבר לאתר של מתכונים ולהכין דברים לבד? לא יודע, היום זה נמשע הזיו, מחר זה ישמע הגיוני ובסיסי לגמרי.
אז ברור שאפשר בלי. כמו שאפשר בלי הרבה מאוד דברים שיש לנו היום. אבל זאת לא המגמה.

מלמד
Guest

אני מסכים איתך שזאת תהיה בעיה בעתיד. לדעתי אין צורך בכפייה של תקן וכו’ – החברות יתחילו למכור מוצרים מאובטחים בכל מקרה כי זה יתן להן יתרון על פני המתחרות וכי זה לא כרוך בעבודה רבה ואולי הכי חשוב – כותרת בסגנון “תנור של סמסונג נפרץ וגרם לשריפה שבה נהרגו X אנשים” תגרום לנזק תדמיתי גדול מאוד וייתכן שגם יש בכך פן משפטי. לא מאהבת מרדכי כי אם משנאת המן – החברות ידאגו לעצמן ואנחנו נרוויח מזה על הדרך.

בצל כחול
Guest

כן כי ראינו מה קרה למכירות של סדרת הנוט….
אחרי חצי שעה אף אחד לא זכר בכלל מה היה עם הנוט 7.

יאיר
Guest

טכנית האיום כנראה יהיה רלוונטי רק במכשירים עם מסך

בייגל
Guest

אני אגיד לאישתי לבדוק את תקן הוויפי של הויברטור שלה.

מישהו
Guest

ומה הוא יעשה? ירטט יותר חזק? חחחחחח..

רונן
Guest

בחיים לא ראיתי מכונת קפה מחוברת לאינטרנט… תמיד זה רק חשמל ומים ????‍♂️

doors
Guest

ההגנה הכי טובה. מעבד חלש

משה
Guest

כנראה שנמשיך לחכות (ולהיות זמינים להתקפות) עד שיצא פרוטוקול אבטחה אחיד שלא יתעדכן ע”י החברה אלא דרך מערכת אבטחה חיצונית

wpDiscuz

תגיות לכתבה: