Pacemaker hack može ubiti putem prijenosnog računala

Pacemakerima nekoliko proizvođača može se zapovijediti da će isporučiti smrtonosni 830-voltni šok od nekoga na prijenosnom računalu do 50 stopa udaljenosti, a rezultat je lošeg softvera od strane proizvođača medicinskih uređaja.

Novo istraživanje dolazi od Barnaby Jacka IOActive proizvođača sigurnosti, poznat po analizi druge medicinske opreme kao što su uređaji za isporuku inzulina.

Jack, koji je govorio na sigurnosnoj točki buke konferenciji u Melbourneu u srijedu, rekao je da je nedostatak programiranje bežičnih odašiljača koji se koriste za davanje uputa za pacemakers i implantable cardioverter defibrilatori (ICD) koji otkrivaju nepravilne kontrakcije srca i isporučuju električni šok za sprečavanje srčanog udara

[Dodatna čitanja: Kako ukloniti zlonamjerni softver s vašeg Windows računala]

Uspješni napad pomoću mane "mogao bi svakako rezultirati smrću", rekao je Jack, koji je obavijestio proizvođače problema, ali nije javno identificirala tvrtke.

U video demonstraciji, Jack je pokazao kako može daljinski izazvati pacemakera da iznenada isporučuje šok od 830 volt, koji se može čuti s čistim zvučnim popom.

Bežični rizik

Čak 4,6 milijuna pacemera i ICD-a prodano je između 2006. i 2011. godine samo u SAD-u, rekao je Jack. U prošlosti su pacemakers i ICDs reprogramirani od strane medicinskog osoblja koristeći štapić koji je morao proći u roku od nekoliko metara od pacijenta koji je jedan od uređaja instaliran. Štapić okrene prekidač softvera koji bi mu omogućio da prihvati nove upute.

Barnaby Jack

Ali trend je sada da ide bežično. Nekoliko medicinskih proizvođača sada prodaje prekidač za noćenje koje zamjenjuju štapić i imaju bežični raspon do 30 do 50 stopa. U 2006. godini, američka Uprava za hranu i lijekove odobrila je kompletne implantabilne uređaje temeljene na radijskoj frekvenciji koji rade u rasponu od 400 MHz, rekao je Jack.

Sa širokim rasponom prijenosa, daljinski napadi na softver postali su izvediviji, rekao je Jack. Nakon što je proučavao odašiljače, Jack je ustanovio da će uređaji odreći serijski broj i broj modela nakon što je bežično kontaktiran s posebnim naredbom.

S serijskim i modelnim brojevima, Jack bi zatim mogao ponovno programirati firmver prijenosnog odašiljača koji bi dopustiti reprogramiranje pacemakera ili ICD u tijelu osobe.

"Nije teško vidjeti zašto je to smrtonosna značajka", rekao je Jack.

Njegovo istraživanje tek počinje. FDA, kaže, samo gleda medicinsku učinkovitost uređaja i ne vrši reviziju kodova uređaja.

"Moj je cilj podići svijest o tim potencijalnim zlonamjernim napadima i potaknuti proizvođače da djeluju na pregled sigurnosti njihova šifra, a ne samo tradicionalni sigurnosni mehanizmi tih uređaja ", rekao je Jack.

Podložni podaci previše

Pronašao je i druge probleme s uređajima, poput činjenice da često sadrže osobne podatke o pacijentima, kao što su njihovo ime i njihov liječnik. Također su otkriveni i drugi znakovi nejasnog koda, kao što je potencijalni pristup udaljenim poslužiteljima koji se koriste za razvoj softvera.

"Nova implementacija je manjkava na mnoge načine", rekao je Jack. "Stvarno treba preurediti."

Jack razvija "Electric Feel", aplikaciju s grafičkim korisničkim sučeljem koje bi omogućilo korisniku da skenira medicinski uređaj u rasponu. Pojavit će se popis, a korisnik može odabrati uređaj, poput pejsmejkera, koji se može isključiti ili konfigurirati za isporuku šoka.

Standardni pacemaker

Kao da to nije bilo dovoljno loše, Jack rekao je da je moguće prenijeti specijalno izrađene firmware na poslužitelje tvrtke koja bi zarazila više pacemera i ICD-ova, širenje njihovim sustavima kao pravi virus.

"Možemo gledati crv s mogućnošću počinjenja masovnog ubojstva", rekao je Jack. "To je vrsta zastrašujuće." Ironično, i implantati i bežični odašiljači su sposobni koristiti AES (Advance Encryption Standard) šifriranje, ali to nije omogućeno, rekao je Jack. Uređaji također imaju "backdoor", ili načine na koje programeri mogu dobiti pristup bez standardne autentifikacije pomoću serijskog i broja modela.

Postoji legitimna medicinska potreba jer bez pozadine možda ćete morati "rezati nekoga otvorenog" Jack je rekao. "Ali, ako će im imati stražnja vrata, barem ga ugrađuju duboko u ICD jezgru. To su skupi uređaji." Jackova prezentacija lijepo je ilustrirana u stripu poput mode. U jednom trenutku, slajd je pokazao čovjeka koji je izgledao sasvim slično bivšem američkom potpredsjedniku Dicku Cheneyju, koji je dugo patio od srčanih problema. Nedostaci u uređaju, rekao je Jack, mogli bi značiti da napadač može izvesti "prilično anonimno ubojstvo" od 50 metara dalje. "Za mene, laptop ne izgleda kao uređaj koji je sposoban ubiti nekoga". Jack je rekao:

Ili, kao član publike dodaje: "Ne postoji njuška s prijenosnim računalom."

Pošaljite vijesti i komentare na [email protected]. Slijedite me na Twitteru: @jeremy_kirk