Hace unos meses,
Kaspersky detectó una amenaza crítica de seguridad. Resultó ser una simple
interfaz web que en realidad era un enlace a una gasolinera real, haciéndola
manipulable de manera remota.
La interfaz web no
resultó ser solo eso, sino que era en realidad una máquina ejecutando un
controlador basado en linux con un pequeño servidor httpd. Según el fabricante,
el software del controlador se encarga de gestionar todos los componentes de la
gasolinera: Dispensadores, terminales de pago... Algunos de estos controladores
llevaban gestionando estaciones más de 10 años, y llevan expuestos a internet
desde entonces.
Según los
especialistas de Kaspersky, en el momento de la investigación localizaron donde
se encontraban las estaciones activas. Mayormente en Estados Unidos y la India,
aunque también se encontraron en un porcentaje considerable en España y Chile.
Una vez conocida la
información del dispositivo, era sencillo obtener la documentación de este. Los
manuales del fabricante eran bastante detallados, llegando a incluir capturas
de pantalla, comandos, credenciales por defecto e incluso una guía paso a paso
sobre cómo acceder y manejar cada interfaz. Solo con esto, se puede tener
conocimiento de como funciona la aplicación.
Observando la
interfaz, podemos ver que es sencilla para utilizar por los operarios de la
gasolinera. Sin embargo, en el caso de que el operario sea un usuario malicioso
puede llevar a cabo distintas acciones entre ellas modificar informes, recibos
o incluso el precio de la gasolina. Estos privilegios, que deberían ser accesibles
solo al administrador pueden ser utilizados por cualquier usuario.
También es
interesante que, en el esquema anterior no encontramos ninguna referencia a
medidas de seguridad o de protección contra la interfaz.
Los investigadores de
Kaspersky volcaron el firmware del dispositivo para poder analizarlo, llegando
a darse cuenta de una ingrata sorpresa: el fabricante había dejado unas
credenciales hardcodeadas a modo de backdoor, en caso de que el dispositivo
requiriese permisos mayores o acceso local con los privilegios mas altos.
Cualquier dispositivo de dicho fabricante cuenta con las mismas credenciales
hardcodeadas.
Entre otras
vulnerabilidades, resulta interesante que se pueda obtener la localización
exacta de la gasolinera. Existe un componente que genera informes
diariamente, incluyendo el nombre de la
estación además su localización.
Haciendo uso de las
credenciales encontradas en el código del firmware, se pueden cambiar los
precios de la gasolina. El atacante tendría que investigar los productos de la
gasolinera con estas credenciales hasta dar con el producto que corresponda a
la gasolina para poder modificar su precio.
Tras el análisis por
los investigadores de Kasperksy, concluyeron que un atacante que conozca las
credenciales hardcodeadas tendría acceso a:
- Apagar todos los
sistemas de provisionamiento
- Filtro de
combustible
- Cambiar los
precios de los productos
- Robar dinero a
través de la terminal de pago
- Obtener
información de las licencias de los vehículos y sus dueños
- Bloquear la
estación a cambio de un rescate.
- Ejecutar código
remoto
- Moverse
libremente dentro de la red de la estación
Más información:
- Flaws in gas station software: https://motherboard.vice.com/en_us/article/43qkgb/flaws-in-gas-station-software-let-hackers-change-prices-steal-fuel-erase-evidence
- Gas is too expensive: https://securelist.com/expensive-gas/83542/
Fuente: Hispasec