מומחי אבטחה הדגימו מתקפות כופרות על רובוטים
This post is also available in: 
English (אנגלית)
חברת שירותי האבטחה IOActive הזהירה כי עשרות אלפי רובוטים מהווים איום לביטחונם של בני אדם לאחר שחוקריה הצליחו לבצע מתקפות באמצעות כופרות (ransomware) כנגד שני מותגים מובילים.
האזהרה הגיעה שישה חודשים אחרי שהחברה הזהירה כי מותגי הרובוטים הביתיים הנפוצים ביותר הם בעלי תורפות שתוקפי סייבר יוכלו לנצל.
האזהרה הראשונה בוססה על מחקר שמצא כי מכיוון שהרובוטים משתמשים ב-DNS מרובה-מקורות על מנת להודיע על נוכחותם ברשת, קל יחסית למצוא את שם המארח (Host Name) של הרובוט.
כמו כן, מכיוון ששירותים רובוטיים מסוימים לא דורשים אימות משתמש, כל משתמש ברשת יכול להוציא פקודות לביצוע פעולות או לבטל תכונות אבטחה.
זה אומר שרובוטים הומנואידים (בעלי צורה הדומה לבני אנוש), דוגמת Nao או Pepper השייכים לחברת SoftBank Robotics, יכולים להיות כלי שרת בידי תוקפים על ידי צילום וידאו והדלפתו לשרתים חיצוניים הנשלטים על ידי התוקפים.
האזהרה האחרונה מגיעה אחרי מתקפת כופרה מוצלחת שהיוותה הוכחת היתכנות על רובוטי Nao ו-Pepper על ידי חוקרי IOActive סיזר סרודו ולוקאס אפה.
גודל האיום מתבהר על ידי העובדה שחברת SoftBank Robotics מכרה מעל ל-30,000 רובוטים הומנואידים כאלו ברחבי העולם עד כה, ולפי אתר computerweekly.com, יקף שוק הרובוטים עשוי להגיע ל-231 מיליארד דולר עד שנת 2021.
תעשיות רבות נסמכות על רובוטים, ובכללן ייצור תעשייתי, תעשיית הרכב, הקמעונאות והמסעדות, על מנת להאיץ תהליכים שנעשו לפני כן על ידי בני אדם.
לפי סרודו ואפה, אם ינוצלו תורפות הרובוטים על מנת לתקוף בכופרה, בית עסק עשוי לאבד את הנתונים שלו, יצור שנעשה על ידי רובוטים עשוי להיעצר ועסקים יחכו שבועות ארוכים עד לתיקון הרובוטים היקרים.
"אין זה סוד כי מתקפות כופרה הפכו לשיטה המועדפת על ידי פושעי סייבר על מנת לקבל תמורה כספית מהצפנת המידע של הקורבן ודרישת כופר עבורו", אמר לוקאס אפה, יועץ אבטחה בכיר בחברת IOActive.
"כאשר אנו יודעים זאת, החלטנו לערוך הוכחת היתכנות למתקפת כופרה על רובוט Nao, ולנצל את התורפות שגילינו במחקר הקודם בשנת 2017".
ההתקפה בוססה על ההנחה כי בעלי עסקים נוטים יותר לשלם כופר מאשר לחכות שבועות עד לחזרת הרובוטים למצב המאפשר פעילות. "על כל שניה שהרובוט לא פעיל, עסקים ומפעלים מפסידים כסף רב", אמר אפה.
המחקר החדש על כופרה רובוטית נבנה על המחקר המקורי של אפה בשיתוף עם סרודו, סמנכ"ל טכנולוגיות בחברת IOActive, בשנת 2017, בו הם גילו כמעט 50 תורפות ברובוטים ממגוון ספקים שונים.
כמו שנכתב במחקר, התוקפים יכולים לנצל את הפגמים שנמצאים ברובוטים הללו על מנת לרגל באמצעות המיקרופון והמצלמה שלהם, להדליף נתונים או אף לגרום לנזק פיזי רציני.
סרודו ואפה לקחו את המחקר עוד צעד קדימה, על ידי יצירה והעלאת תכונת כופר לדגם הרובוט Nao, אשר יש לה מערכת הפעלה זהה לרובוט עצמו.
על ידי החדרת שורות קוד מותאמות לתיקיות קבצי ההתנהגות של הרובוט, הם שינו את התנהגותו להיות זדונית. התנהגות זדונית אפשרית ברובוט נגוע יכולה לכלול הפרעות טוטאליות בשירות, תוכן פורנוגרפי על תצוגת הרובוט, שימוש בקללות ואפילו תנועות אלימות.
הרובוט הנגוע יכול לשמש גם כשער לתוך רשתות אחרות בבית העסק, ולהציע 'דלת אחורית' להאקרים שיוכלו לגנוב מידע רגיש.
"אפילו שכופרת הוכחת ההיתכנות שלנו פגעה ברובוטים Nao ו-Pepper של SoftBank, אותה התקפה הייתה עובדת גם על כל רובוט פגיע אחר", אמר אפה.
"מוכרי הרובוטים צריכים לשפר גם הם את האבטחה שלהם, ולעדכן את מנגנוני הרובוטים על מנת למזער את איום הכופרה עליהם. אם מוכרי הרובוטים לא יפעלו מהר, מתקפות כופרה על הרובוטים יוכלו להזיק מאוד לעסקים בכל העולם".
