El Internet de las cosas dañinas

A principios de los años 2000 subí al escenario y profeticé sobre el ciberpanorama del futuro, al igual que hoy en día. En aquel entonces advertí que, algún día, tu refrigerador enviaría spam a tu microondas y, juntos, llevarían a cabo un ataque DDoS contra la cafetera. No, en serio.

La audiencia levantaba las cejas, se reían, aplaudían y, a veces, continuaban con un artículo acerca de un “profesor demente” y otros tipos de expresiones. Pero, en general, se tomaron mi “Cassandraismo” un poco a broma, ya que las ciberamenazas del momento estaban consideradas como más preocupantes. Tanto para el “profesor demente”…

…Acabo de abrir el periódico del día.

Hoy en día, cualquier casa, sin importar lo vieja que sea, puede tener en su interior muchos dispositivos “inteligentes”. Algunas tienen pocos (teléfonos, televisores…) y otras tienen muchos (cámaras IP, neveras, microondas, hornos, cafeteras, termostatos, planchas, lavadoras, secadoras, brazaletes inteligentes, entre otros). Algunas casas incluso se diseñan ya con dispositivos inteligentes incluidos en las especificaciones. Y todos estos dispositivos inteligentes se conectan al wifi, lo que ayuda a construir el gigante, autónomo, y muy vulnerable, Internet de las Cosas, cuyo tamaño ya supera al Internet Tradicional que conocemos profundamente desde el inicio de los 90.

Conectarlo todo y el fregadero de la cocina a Internet tiene una razón, claro. Ser capaz de controlar el kit electrónico de tu hogar de forma remota mediante tu smartphone puede ser muy conveniente (para algunas personas:). También es tendencia. Sin embargo, como este Internet de Cosas se ha estado desarrollando, mi Cassandraismo se ha hecho realidad.

Fuente

Algunos sucesos recientes:

El viernes pasado, más de 80 grandes webs de Internet (incluyendo Twitter, Amazon, PayPal y Netflix) quedaron inactivos o en intermitentemente funcionamiento. Resultó que la causa fue un ataque DDoS contra la compañía Dyn, la cual provee a los sitios afectados de servicios DNS. Tal vez pienses “ah, un ataque DDoS, estas cosas suceden a veces en Internet). La cuestión es que, después de investigar más a fondo, resultó que fue una botnet de Miran la que atacó Dyn compuesta de… cámaras IP habilitadas, DVR y otros bits conectados del Internet de Cosas.

Mirai resultó ser un malware simple, el cual escanea Internet en busca de dispositivos del IdC, se conecta a ellos mediante usuarios y contraseñas por defecto, se asegura los derechos de administrador y lleva a cabo las órdenes de los hackers. Y ya que es raro que un usuario cambie el usuario y contraseña por defecto en dichos dispositivos, reclutar unos cien mil zombis para la botnet fue fácil.

Así que, una simple botnet creada por aficionados y construida con todo tipo de dispositivos inteligentes fue capaz de alterar severamente algunos de las webs más grandes del mundo durante un tiempo. La botnet ya se había dado a conocer: en el ataque DDoS más poderoso conocido, dirigido hacia el blog de Brian Krebs (con una potencia máxima que alcanzaba los 665 Gbps).

Me parece que en un futuro cercano muchas palomitas de maíz, o unos antidepresivos, nos serán de mucha ayuda…

El tamaño de Mirai se estima que está en unos 550 000 bots, mientras se cree que todo el IdC tiene entre 7 000 y 19 0000 millones de dispositivos (se espera que la cifra aumente a los 50 000 millones dentro de cinco años). Entonces, ¿cuántos de ellos son vulnerables? ¿Cuántos pueden reclutar los hackers para sus ataques? Esa es una pregunta difícil de contestar, pero algo seguro es que Mirai tiene muchísimo potencial para causar muchísimas molestias. En especial desde que la fuente del código del malware se publicó en foros ciberclandestinos, lo que quiere decir que las técnicas están abiertamente disponibles para cualquier que esté interesado (y ello incluye a los aficionados con delirios de grandeza).

Los dueños de los dispositivos IdC infectados no habrían notado que estos formaron parte del ataque, del mismo modo que, en este instante, no notarías que están usando tu cámara IP para llevar a cabo un ataque DDoS en este o aquel recurso de Internet. Esto del tráfico saliente no motivará a los usuarios para que adquieran una protección básica para sus dispositivos (algo tan básico como un nombre de usuario y una contraseña nuevos). Sin embargo, hay otras ciberamenzas mucho menos benignas que pueden transformar tu hogar inteligente en una pesadilla terrible mientras vacían el contenido de las billetera de su dueño.

La amenaza fantasma

No voy a estimar cuántos millones de dólares han ganado los ciberextorsionistas en años recientes. A pesar de las acciones conjuntas con varias agencias policiales y la industria de la seguridad IT, una epidemia de cifradores y de bloqueadores se han esparcido por Internet tan… epidémicamente, que prácticamente no existe ningún usuario que no haya sido atacado ni que conozca a alguien que no lo haya sido.

El negocio del ransomware va bien, pero todos los negocios del planeta siempre quieren mejorar. Entran en millones de dispositivos IdC vulnerables. Tristemente, los dueños de neveras inteligentes y secadoras piensan que sus dispositivos no interesan a los ciberdelincuentes. Bueno, en cierto modo, tienen razón: los cibercriminales no están interesados en neveras o secadoras, pero están muy interesados en recibir un rescate por ellos. ¿Sabes a lo que nos referimos?

Nos referimos a esto, por ejemplo (un termostato):

Fuente

¿Tu puerta principal no abre? ¿La calefacción dejó de funcionar en pleno invierno? ¿La cafetera no deja de hacer café, sin importar lo que hagas? ¿La televisión se volvió parece un Poltergeist? ¿La aspiradora se encendió sola? Tristemente, estos ejemplos de hackeo no son ciencia ficción: podrían ocurrir fácilmente en la realidad.

Como suele suceder en los nuevos mercados, en la carrera de una mejor funcionalidad, los fabricantes de IdC han descuidado la seguridad.

Sí, claro, estamos aquí, listos para ayudar con nuestra experiencia especializada y nuestra soluciones ya creadas (sí, nuestro laboratorio de pruebas empieza a parecer una tienda de electrodomésticos). Pero nos notifican si sucede algo, así que solo acudimos al rescate cuando algo malo ha pasado: no nos consultan durante el diseño porque a la seguridad no se la considera importante y los usuarios no llegan a comprender que las amenazas son reales.

No es por nada que a los dispositivos inteligentes se les llama dispositivos “inteligentes” (así, con las comillas). Después de todo, los cerebros de estos dispositivos  caben en la pequeña memoria de un móvil. Los fabricantes tienen un largo camino por delante hasta que nos podamos referir a los dispositivos inteligentes sin las comillas. Y, por ahora, es difícil decir cuánto tiempo se necesitará para estar “realmente” listos; por lo tanto, “salvar el mundo” y sus billeteras es una labor totalmente nuestra. Por consiguiente, sugiero que tú, mi querido lector, empieces a trabajar en proveer, como mínimo, de la seguridad básica a todos los dispositivos IdC, incluyendo navegadores, impresoras y todo lo demás:

Primero, cambia los usuarios y las contraseñas, aunque ya no sean los que vienen por defecto.

Segundo, instala los últimos parches desde las webs de los fabricantes.

Tercero, pon un recordatorio en tu teléfono u organizador para repetir lo anterior dentro de tres meses.

Brian Krebs y, en realidad, todo Internet te lo agradecerán, además de que nunca verás algo como lo siguiente:

¿QUÉ SERÍA LO PRÓXIMO QUE AMENACE EL INTERNET DE LAS COSAS? @E_KASPERSKY EXPLICA EL #RANSOMWARE QUE TIENE COMO OBJETIVO AL IOTTWEET