Tienduizenden robots door lek kwetsbaar voor ransomware
Tienduizenden robots van fabrikant SoftBank zijn door een ongepatcht beveiligingslek kwetsbaar voor ransomware, zo waarschuwt securitybedrijf IOActive. Het gaat om de op bedrijven gerichte Pepper-robot en de in onderzoek en onderwijs gebruikte NAO-robot.
Volgens IOActive zijn wereldwijd 30.000 van de robots in omloop. "Vanwege hun wereldwijde populariteit en prijs van boven de 10.000 dollar, zijn deze robots een interessant doelwit voor mogelijke ransomware-aanvallen", zegt onderzoeker Cesar Cerrudo. Onderzoekers van IOActive keken eerder al naar de veiligheid van robots en ontdekten daarbij verschillende kwetsbaarheden.
Zo is er een ongedocumenteerde functie waardoor het mogelijk is om op afstand commando's op de robot uit te voeren. Softbank werd in januari 2017 over het probleem ingelicht, maar ruim een jaar later is er geen update beschikbaar. IOActive heeft nu een proof-of-concept ontwikkeld om de robots met ransomware te infecteren en een uitleg hiervan online gezet, alsmede een videodemonstratie.
Cerrudo merkt op dat de robots geen eenvoudige manier hebben om een fabrieksreset uit te voeren als er een softwareprobleem is. Het over laten komen van een technicus om de ransomware te verwijderen zou weken kunnen duren, afhankelijk van de beschikbaarheid. De onderzoeker merkt op dat de robot tijdens het onderzoek stopte met werken en de enige optie was om die ter reparatie terug naar de leverancier te sturen.
"Ons onderzoek laat zien dat ransomware voor robots een echte dreiging is met mogelijk enorme economische gevolgen voor bedrijven", merkt Cerrudo op. Hoewel de proof-of-concept ransomware alleen voor de Pepper en NAO van Softbank is gemaakt, werkt dezelfde aanval tegen bijna elke robot. "Robotfabrikanten moeten de veiligheid verbeteren, alsmede de herstel- en updatemechanismen van hun robots om de ransomwaredreiging te beperken. Als robotfabrikanten niet snel in actie komen, kunnen ransomware-aanvallen op robots bedrijven wereldwijd lamleggen", aldus de onderzoeker.
Als vervolg onderzoek wil ik ze graag een payload laten schrijven welke zo'n robot hand/arm aan kan sturen en een medewerker bij de keel grijpen (zou eerst maar testen met een pop...). Dat geeft weer een heel andere dimensie aan de term "ransomware.
Verder: geen geweld nodig, laat qua ransomware de robot bitcoin betalingen doen op de PC van de eigenaar :)
https://www.vpro.nl/programmas/robo-sapiens/lees/artikelen/2017/japan-seksrobots-relatie-robots.html
https://www.vpro.nl/programmas/robo-sapiens.html
Bij aankoop van zo'n robort wordt er een extra besturingsplaat (printplaat) meegeleverd.
In het geval van infectie; uitschakelen, printplaat eruit, deze opsturen i.p.v. de robot.
Of denk ik dan weer te eenvoudig? Zalwel :-)
Het is een ongelukkig ontwerp, maar ben benieuwd hoeveel van die apparaten (in)direct aan het Internet hangen. Waarschijnlijk bedroevend veel...
Aan de andere kant is het wel gunstig voor de werkgelegenheid; ).
Bij aankoop van zo'n robort wordt er een extra besturingsplaat (printplaat) meegeleverd.
In het geval van infectie; uitschakelen, printplaat eruit, deze opsturen i.p.v. de robot.
Of denk ik dan weer te eenvoudig? Zalwel :-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
