By: lew
on 3 October 2016 - 12:59
Tags:
Topics:
ผู้ใช้ Anna-senpai ในบอร์ด Hackforums ประกาศออกจากวงการด้วยการปล่อยซอร์สโค้ดมัลแวร์ Mirai สำหรับเข้าควบคุมอุปกรณ์ IoT ผ่านทางรหัสผ่านมาตรฐาน หรือบัญชีผู้ใช้ที่ฮาร์ดโค้ดเอาไว้
Mirai จะเข้าควบคุมอุปกรณ์จำนวนมาก สั่งให้อุปกรณ์เหล่านั้นรับคำสั่งจากเซิร์ฟเวอร์สั่งการ Anna ระบุว่าสามารถดึงบอทได้สูงสุดถึง 380,000 เครื่อง แต่หลังจากมีผู้ให้บริการปรับปรุงเน็ตเวิร์คหลัง การโจมตี Brian Krebs ตอนนี้มัลแวร์สามารถดึงบอทได้ประมาณ 300,000 เครื่อง
มัลแวร์ Mirai จะฝังตัวในหน่วยความจำเท่านั้น การรีบูตก็ทำให้มัลแวร์หายไป แต่หากยังไม่เปลี่ยนรหัสผ่านมัลแวร์จากแฮกเกอร์อื่นก็สามารถบุกเข้ามาได้อยู่ดี ทางแก้สำคัญคงเป็นการเปลี่ยนรหัสผ่านทันทีที่ติดตั้ง และอัพเดตเฟิร์มแวร์ที่มีรายงานว่ามีบัญชีผู้ใช้ฮาร์ดโค้ดไว้เสมอ
ที่มา - Krebs on Security
Get latest news from Blognone
Follow @twitterapi
Comments
อะไรคือฮาดโคดในIotหว่า รบกวนผู้รู้ (ฮาด=ยาก,โค้ค)?
hardcode ในความหมายที่ผมเข้าใจคือ โค๊ดที่เอาไว้รันเฉยๆ ไม่มีหน้าตาอะไร
Hard coding
บัญชีผู้ใช้ที่เปลี่ยนรหัสไม่ได้ ลบไม่ได้ เพราะอยู่ในซอร์สโค้ดโดยตรงครับ
ตัวอย่าง (มีอีกหลายยี่ห้อ) ช่องโหว่ของ Aruba
lewcpe.com , @wasonliw
hardcode แปลประมาณว่าฝังไว้ใน code ตั้งแต่ก่อน compile เลยครับ ทำให้ถ้าไม่ upgrade software ก็ไม่สามารถทำอะไรกับ code หรืออะไรก็ตามตรงจุดนั้นได้
ส่วนมากจะชอบใช้ตอนทำทดสอบกัน แล้วถ้าลืมลบหรือลืมแก้ออกก็ซวยครับ
ความปลอดภัยกับ IoT ณ ปัจจุบันมองไปแล้วยังไม่โอเคเท่าไหร่ ล่าสุดผมเพิ่งรู้ว่าแม้แต่มาตฐานใหญ่ๆอย่าง ZigBee เองยังมีปัญหารอสะสาง คือตัวมาตฐานออกแบบระบบรักษาความปลอดภัยไว้ดี แต่ว่ากลับไม่บังคับใช้เข้มงวด ปล่อยขึ้นกับผู้ผลิตตัดสินใจเองจะนำไปใช้หรือเปล่า เลยไม่แปลกในตลาด IoT ที่อัตตราการเติบโตสูงมากหลายเจ้าเลือกดันสินค้ามาแบ่งชิ้นเค้กก่อนที่จะจัดการความปลอดภัยให้เต็มที่ ( ZigBee explited )
หลายปีนี้คงมีข่าว IoT โดน hack ให้ได้ยินเรื่อยๆ ไม่น่าเซอร์ไพร์ส
ส่วนตัวคงไม่เอาอะไรที่เป็น IoT มาใช้กับงานซีเรียสทันที แค่ตอบสนองความอยากรู้อยากเห็นไปก่อน
ผมคิดว่ายอมได้มากสุดคือแยก network แล้วต้องเข้าทุกอย่างผ่าน RPi สักตัว ตั้ง RPi ให้ auto update ไว้น่าจะพอไหว
lewcpe.com , @wasonliw
ต่อไปคงมี Router สำหรับ IoT เลยมั้งครับ *-*)
บล็อกส่วนตัวที่อัพเดตตามอารมณ์และความขยัน :P
เห็น IOT หลายๆเจ้ามา demo ให้ดู ยังใส่ user pass เวลาต่อกับcloudแบบ hardcode กันอยู่เลย แถมส่งข้อมูลแบบไม่ encrypt อีก โดยเฉพาะใช้ความปลอดภัยบน router ไม่ได้
จริงๆ ถ้าเอาไว้แค่ monitor ระบบ คงไม่ถึงกับอ่อนไหวมาก แต่ถ้าไปเกี่ยวพันถึงการควบคุมได้เมื่อไรก็น่ากลัว นึกถึงการhack scada
ต่อไปคงต้องมี UTM Firewall for IoT network แล้ว
IoT ที่ต้อง offline/แยกตัว จาก Internet ดูตลกดีไม่น้อย