Les alarmes de voiture intelligente exposent ironiquement des millions de véhicules au détournement à distance

0
10

Les alarmes intelligentes rendent ironiquement des millions de voitures plus faciles à voler

Les systèmes d'alarme de voiture de rechange développés par Pandora et Viper se sont avérés vulnérables à l'exploitation à distance, permettant ainsi à des attaquants potentiels de détourner les véhicules sur lesquels ils étaient installés et d'espionner leurs propriétaires.

Des failles logicielles exploitables ont été trouvées dans les applications pour smartphone utilisées pour contrôler les systèmes d'alarme développés par Pandora et Viper (connue sous le nom de Clifford au Royaume-Uni), deux des alarmes de voiture intelligente les plus populaires au monde.

En prenant simplement en compte les affirmations de Viper sur le site Web du système d’alarme SmartStart conçu pour aider les clients à «démarrer, contrôler et localiser» leurs voitures de «pratiquement n’importe où», l’application pour smartphone a déjà été téléchargée plus de 3 000 000 fois.

Localiser et détourner des voitures en appuyant sur un bouton

Les chercheurs du Pen Test Partners qui ont mis au jour ces failles ont indiqué que "les vulnérabilités sont des références directes peu sûres et peu sûres (IDOR) dans l'API", et "simplement en modifiant les paramètres, on peut mettre à jour l'adresse e-mail enregistrée sur le compte sans authentification envoyez un mot de passe réinitialisé à l'adresse modifiée (c'est-à-dire celle de l'attaquant) et prenez le compte. "

Comme l’a découvert l’équipe de recherche de Pen Test Partners, les systèmes d’alarme intelligents du marché des pièces de rechange permettraient aux attaquants potentiels d’exploiter des failles de sécurité qui permettent:

• La voiture à géolocaliser en temps réel
• Le type de voiture et les détails du propriétaire à identifier
• l'alarme à désactiver
• La voiture à débloquer
• L'immobiliseur doit être activé et désactivé
• Dans certains cas, le moteur de la voiture peut être «tué» pendant la conduite
• Une marque d’alarmes permettait aux conducteurs d’être surveillés à travers un microphone
• En fonction de l'alarme, il peut également être possible de voler des véhicules

Les chercheurs ont également déclaré que certaines des alarmes intelligentes testées leur permettaient également d’écouter toutes les conversations à l’aide d’un microphone intégré au système d’alarme, permettant ainsi aux criminels d’observer les millions de propriétaires de voitures qui les avaient installées sur leur voiture.

Pire encore, les défauts observés dans les API d’alarme de voiture ont exposé d’énormes quantités d’informations personnellement identifiables.

En outre, "il convient également de noter que vous n'avez pas besoin d'acheter deux de ces produits pour avoir un compte sur le système. Les deux produits permettent à quiconque de créer un compte test / démo. Avec ce compte démo, il est possible d'accéder à tout véritable compte et récupérer leurs détails ", ont déclaré les chercheurs.

Alors que Pen Test Partners ne laissait que sept jours aux deux sociétés à l'origine des systèmes d'alarme de voiture intelligente vulnérables pour résoudre les problèmes de sécurité en raison des risques élevés que les criminels soient déjà au courant et susceptibles de les exploiter à l'état sauvage, Pandora et Viper ont réagi et les ont corrigées rapidement, beaucoup plus rapidement que prévu par les chercheurs.

Le représentant du Royaume-Uni de Pandora a répondu environ 48 heures plus tard et son siège, basé à Moscou, a agi rapidement. L'IDOR a été réparé pendant la nuit et nous l'avons confirmé le lendemain matin.

Viper a répondu plus rapidement, mais a pris un peu plus de temps pour résoudre le problème. Celui-ci est également confirmé comme corrigé.

Les chercheurs en sécurité de Pen Test Partners ont également donné une estimation "prudente" du nombre de voitures potentiellement affectées par les problèmes trouvés, indiquant que "les constructeurs avaient exposé par inadvertance environ 3 millions de voitures au vol et leurs utilisateurs au détournement", ainsi que "150 milliards de dollars la valeur des véhicules ont été exposés. "

Logiciels et applications automobiles vulnérables au piratage

Ce n'est pas la première fois et ce ne sera certainement pas la dernière fois lorsque des voitures auront été piratées à l'aide de vulnérabilités identifiées à la fois dans les logiciels intégrés ajoutés par leurs fabricants ou dans diverses applications utilisées pour les contrôler à l'aide des smartphones de leurs propriétaires.

Les voitures électriques de Tesla, par exemple, ont été jugées vulnérables en 2016, les voleurs de voitures pouvant pirater et voler une Tesla en infectant le smartphone Android du propriétaire avec un virus et en les utilisant pour contrôler l'application Android Tesla et, par la suite, leur voiture.

En avril 2018, une société néerlandaise de cybersécurité a découvert que de multiples systèmes IVI (infotainment in-vehicle) utilisés par certaines voitures du groupe Volkswagen étaient exposés à un piratage à distance.

En mai, BMW a annoncé qu'il avait commencé à travailler sur un certain nombre de mises à jour de microprogrammes conçues pour résoudre 14 problèmes de sécurité détectés dans les BMW Série i, BMW Série X, BMW Série 3, BMW Série 5 et BMW Série 7 par des chercheurs du Tencent Keen Security Lab.

Les mêmes chercheurs ont également pu identifier plusieurs vulnérabilités dans les voitures Tesla Modèle X qui auraient permis aux assaillants de contrôler à distance les véhicules, forçant la voiture à freiner en mouvement ou en contrôlant ses phares, ses affichages intégrés dans le véhicule, et d'ouvrir ses portes et son coffre lorsque Stationnaire.

En octobre 2017, un concepteur en électronique a découvert une faille de sécurité dans le système de porte-clés de plusieurs modèles Subaru, un problème qui pourrait vraisemblablement être utilisé pour détourner les voitures de clients et que le constructeur a refusé de corriger lorsqu'il a été contacté.

BMW, Nissan, Ford et Infiniti ont été touchés par deux débordements de mémoire tampon (CVE-2017-9647 et CVE-2017-9633) dans les composants de la TCU (unité de contrôle télématique) (modems 2G) au cours de l'été 2017. S-Gold 2 (PMB 8876), Jeux de puces à bande de base cellulaire.

Les voitures Mazda se sont également avérées vulnérables, le système d'infodivertissement Mazda MZD Connect étant facilement piratable en connectant une clé USB au tableau de bord de la voiture.

Cette "fonctionnalité" a été utilisée avec succès par les propriétaires de voitures Mazda pour modifier les systèmes d’infodivertissement de leurs véhicules – installation de nouvelles applications et ajustement des paramètres.

Pour mettre les choses en perspective, comme détaillé dans une étude menée par le Ponemon Institute – en ce qui concerne le test des vulnérabilités logicielles – environ 63% des constructeurs automobiles testeront moins de la moitié des logiciels, du matériel et des autres technologies qu'ils développent. .

Crédits image: Paul Dolan

LEAVE A REPLY

Please enter your comment!
Please enter your name here

This site uses Akismet to reduce spam. Learn how your comment data is processed.