Nel corso della RSA security conference di San Francisco, ricercatori di Kaspersky Labs hanno evidenziato falle di vario tipo individuate in varie app Android per le automobili. I ricercatori Victor Chebyshev e Mikhail Kuzin hanno esaminato sette app per i veicoli connessi evidenziando gravi falle di sicurezza.
“Le funzioni principali di queste app sono aprire le portiere e in molti casi mettere in moto l’auto” spiegano i ricercatori evidenziando però che gli hacker possono approfittarsi delle falle nelle app.
- Nessuna protezione contro il processo di reverse engineering dell’applicazione. I criminali possono cercare e trovare vulnerabilità che danno accesso all’infrastruttura di server side o al sistema multimediale dell’automobile.
- Nessun controllo di integrità. Questo permette ai criminali di incorporare il proprio codice nell’app, aggiungendo funzionalità pericolose e sostituendo il programma originale con uno falso sul dispositivo dell’utente.
- Nessuna tecnica di rilevamento dei root. I permessi di root forniscono ai Trojan infinite funzionalità e privano l’app di qualsiasi difesa.
- Mancanza di protezione contro le tecniche di overlay. Questo permette alle app dannose di mostrare finestre di phishing sulla finestra originale dell’app, ingannando gli utenti e facendo inserire loro le credenziali nella finestra che invia tutte le informazioni ai criminali.
- Memorizzazione di login e password in testo semplice. Utilizzando questa debolezza, un criminale è in grado di rubare facilmente i dati degli utenti.
Sfruttando le varie falle in questione, un hacker può prendere il controllo dell’auto, sbloccare le portiere, disattivare l’allarme e in teoria anche rubare il veicolo. I ricercatori hanno comunicato le loro scoperte agli sviluppatori (non hanno rivelato i nomi delle app) spiegando di non avere notato al momento alcun utilizzo di app in questo ambito.
“È facile nascondersi dietro un dito, pensando che non subirete mai un attacco hacker o che si tratta di fantascienza” si legge sul blog di Kasperky, “la verità però è che dopo questa invenzione, le automobili sono diventate gli obiettivi dei criminali. E se un attacco informatico rende tutto più facile, immaginate tutte le possibilità che ci sono”:
È stata già dimostrata la possiiblità di sfruttare vulnerabilità che consentono di controllare le auto. Due anni addietro Charlie Miller e Chris Valasek avevano preso il controllo di una Jeep grazie alle vulnerabilità di questo tipo.
“Le applicazioni per le automobili connesse non sono pronte ad affrontare gli attacchi malware” spiega Chebyshev. “Ci aspettiamo che i produttori di auto dovranno prendere la stessa strada già intrapresa dalle banche con le loro applicazioni… Dopo diversi casi di attacchi alle app bancarie, molte banche hanno migliorato la sicurezza dei loro prodotti”. “oFrtunatamente, non abbiamo ancora rilevato nessun caso di attacco alle applicazioni per le automobili; questo vuol dire che i fornitori di automobili hanno ancora tempo per fare bene le cose. Quanto tempo abbiano esattamente non si può ancora sapere. I Trojan moderni sono davvero molto flessibili (un giorno si comportano come normali adware e quello dopo possono scaricare una nuova configurazione, facendo in modo che sia possibile prendere di mira nuove app). La superficie di attacco è davvero enorme”.
