$
אינטרנט

פרסום ראשון

ליקוי בתוכנת בקרת מקררים מסכן מאגרי תרופות ברחבי העולם

מומחי הסייבר הישראלים נועם רותם ורן ל' גילו פירצה במערכת ששולטת במקררים בבתי חולים וסופרמרקטים בארץ ובעולם; דרכה, יכלו תוקפי סייבר לנטרל תשתיות קירור מרחוק ולגרום נזק קריטי למחסני מזון, בתי מרקחת, ארגוני בריאות ועוד

עומר כביר 15:1308.02.19

פרצת אבטחה חמורה במערכת בקרת מקררים תעשייתיים מסכנת עסקים בארץ ובעולם; תוקפי סייבר יכולים לשנות דרכה הגדרות פעולה ולכבות מערכי קירור בבתי חולים, סופרמרקטים ועסקים שונים - כך סיפרו לכלכליסט ההאקרים נעם רותם ורן ל'. השניים חשפו את הליקוי במסגרת מחקר שביצעו ביחד עם חשפו את הליקוי, ביחד עם Safety Detective, אתר מידע בינלאומי בתחום אבטחת המידע. 

 

 

המערכת הפרוצה מיוצרת בידי חברת Resource Data Management, והיא נמצאת בשימוש חברות רבות מבריטניה, אוסטרליה, גרמניה, הולנד, מלזיה, איסלנד, ישראל ועוד. בין המותגים שעושים בה שימוש נמנים מרקס אנד ספנסר, Ocado ו-Way-On. כל מערכת מאפשרת לשלוט בעשרות רבות של מקררים, כאשר להערכת החוקרים, קיימים אלפי מקררים שחשופים לפריצה. היצרנית עודכנה בפרטי הליקוי קודם לפרסום.

 

מערכת קירור שנפרצה בישראל מערכת קירור שנפרצה בישראל צילום: צילום מסך

 

 

את המקררים הפגיעים ניתן לאתר בקלות באמצעות Shodan, מנוע חיפוש למוצרי אינטרנט הדברים, שמאפשר למצוא מכשירים שמחוברים לרשת. במקרה זה, החוקרים חיפשו חתימה מסוימת שמכשירים מהסוג הזה השתמשו בו.

 

החיפוש העלה אלפי בתי עסק שכל אחד מהם מפעיל עשרות, ולפעמים מאות, מקררים אליהם אפשר לגשתבאמצעות פרוטוקול HTTP לא מאובטח ולא מוצפן. רבות מהמערכות מגיעות עם שם משתמש וסיסמת ברירת מחדל זהים, שמנהלי המערכות טורחים לשנות רק לעתים נדירות - מה שמקל משמעותית על הפריצה.

 

"ניתן לגשת למערכות דרך כל דפדפן", נכתב בהודעה שפרסם Safety Detective. "כל מה שצריך זה את ה-URL הנכון, דבר לא קשה במיוחד לפי הבדיקות שלנו. לא נפרט זאת כאן, כי אנחנו לא רוצים לעודד פריצות שיכולות להוביל לסיכון חיים, אבל כל מה שדרוש זה חיפוש פשוט בגוגל. הסברנו למזכירה שלנו איך למצוא מכשירים, ומהר מאוד היא מצאה מפעל קירור בגרמניה ובית חולים בבריטניה באמצעות גוגל בלבד".

 

מימין: המערכות החשופות במאגר Shodan, מערך קירור פרוץ בבית חולים בריטי מימין: המערכות החשופות במאגר Shodan, מערך קירור פרוץ בבית חולים בריטי צילום: צילום מסך

 

 

בדרך זו, הצליחו החוקרים לאתר ולגשת גם למקררים בסניף של מרקס אנד ספנסר בבריטניה, במתקן אחסון מזון באיסלנד, בבית מרקחת במלזיה, במפעלים שונים של יצרנית המזון האיטלקית Menu Italiano באיטליה, דנמרק, בלגיה, שבדיה, גרמניה וסין, וחברת הפארמה המלזית.

 

אחרי שאותר מכשיר שמחובר לתוכנה, כל מה שצריך לעשות זה לפתוח את ממשק השליטה שלו, שנגיש דרך כתובת לא מאובטחת שאפשר להזין בכל דפדפן, ולהזין את שם המשתמש וסיסמת ברירת המחדל. מרגע זה, יכול תוקף לקבל שליטה מלאה על מערכת הקירור ולבצע פעולות כמו הפשרת התכולה, שינוי טמפרטורה, שינוי הגדרות משתמש, שינוי התראות ועוד.

 

 

 

ההשלכות של פריצה אפשרית חמורות, ויכולות לכלול לא רק הרס רחב היקף של מוצרי מזון שונים, אלא גם הרס נרחב של תרופות שמאוחסנות במקררים בבית חולים, מה שעלול לסכן חיי אדם. "כשמדברים על מלחמת סייבר - לזה בדיוק מתכוונים, השפעה אמיתית על תשתיות במדינה המותקפת", אמר רותם לכלכליסט. "פגיעה באספקת המזון בסופרמרקטים היא בדיוק מסוג הדברים עליהם מדברים בהקשר הזה. על המדינה לקחת אחריות גם על התשתיות האזרחיות שבסופו של דבר משרתות את האזרחים, ולא להשאיר את ההגנה עליהן בידי גופים מסחריים שלא באמת מבינים באבטחת מערכות, ולא תמיד רוצים להשקיע את כל מה שצריך בהגנה עליהן".

 

Safety Detective פנו ל-Resource Data Management עם הממצאים המלאים, כולל תיאור מפורט, הסברים וצילומי מסך. ואולם, במקום להודות לחוקרים על הממצאים או אפילו למסור תגובה לקונית שלפיה הפרצה בטיפול, נמסר להם מהחברה: "תודה לכם על פנייתכם. אחרי שבחנו את שירותיכם, הם לא מעניינים את החברה שלנו. כחברת צוות בכירה בחברה שלנו אני מבקשת ממך להימנע מליצור אתנו קשר נוסף, דרך חשבונות אימיילים אישיים או כלליים. מאוד נעריך את זה אם תוכלו להמנע מלתייק אותנו בפוסטים במדיה חברתית. תודה על שיתוף הפעולה".

 

ל-TechCrunch נמסר בתגובה: "אנחנו אומרים ברור במסמכים למשתמש שצריך לשנות את סיסמת ברירת המחדל אחרי התקנת המערכת. אין לנו שליטה על איך מתקינים את המערכות שלנו, ואנחנו מציעים להפנות את המאמר למשתמשים ולתקיני הציוד. נודיע לבעלים שיש לנו תכונה חדשה עם יכולות ותכונות חדשות, אבל זו החלטה שלהם לבקש שדרוג. נפנה לכל הלקוחות הידועים ונודיע להם על חשיבות שינוי סיסמת ברירת המחדל".

בטל שלח
    לכל התגובות
    x