Un concepto interesante que solo ha surgido realmente hace poco —el IoT, o «Internet de las cosas»— ha estado recientemente en el punto de mira de los ciberdelincuentes y los especialistas en seguridad de Internet.
El IoT es una visión, más que una red real. Es la idea de que, a medida que cada vez más dispositivos cuentan con medios de comunicación, inevitablemente acaban formando parte de una estructura de red.
Se han utilizado tanto ondas de radio como cables para conectar dispositivos domésticos (refrigeradores inteligentes, termostatos controlados por teléfono inteligente), animales (localizadores GPS para mascotas, acuarios inteligentes) y
otras tecnologías autónomas (turbinas eólicas, sensores de detección de incendios forestales).
Rara vez estos dispositivos se conectan únicamente dentro de su propio entorno aislado de comunicación. A menudo, su diseño prevé que puedan controlarse o supervisarse desde la web mundial. ¡Incluso existe un protocolo HTML para conectarse a una cafetera!
Las ventajas de conectar entre sí y a la web dispositivos sencillos son numerosas: podrían coordinarse para lograr una mayor eficiencia, controlarse, supervisarse o diagnosticarse a distancia, actualizar su firmware OTA (por el aire), entre otras posibilidades.
Entre las desventajas, cabe suponer que siempre que hay una puerta, hay una puerta trasera.
La complejidad añadida que estos dispositivos introducen puede generar errores en operaciones que nunca antes se habían depurado, como «hervir agua» o «avisar de que nos queda poca leche»; es posible explotar
esos protocolos de comunicación inmaduros.
De hecho, ya ha ocurrido.
Los dispositivos IoT verdaderamente capaces suelen utilizar la arquitectura de CPU ARM. Hasta ahora, la peculiaridad de ARM ha mantenido a raya a los ciberdelincuentes, ya que cada implementación de ARM depende de un
sistema operativo a medida.
Sin embargo, con el mayor uso de dispositivos ARM (ARM fue la arquitectura más vendida en 2014) y los esfuerzos de estandarización de prácticamente todos los principales actores del hardware y el software, el
terreno se ha vuelto propicio para que los atacantes DDoS aumenten su capacidad de impacto.
Además, los propios dispositivos IoT no solo son un objetivo para los atacantes: existe una brecha más peligrosa que permite reclutarlos para la botnet que los atacantes DDoS reúnen para llevar a cabo sus acciones.
Spike es un conjunto de herramientas DDoS que consta de un centro de mando y binarios infecciosos. El centro de mando no depende del tipo de binarios que se comuniquen con él. Los propios binarios comenzaron como ataques DDoS corrientes y mal implementados (por ejemplo, inundaciones SYN). Lo interesante es que se «portó» de Linux a Windows y también a ARM.
Una infección instalaría los binarios en el dispositivo IoT; luego, estos se comunicarían con el centro de mando (cuya interfaz está en chino), desde donde el operador puede tomar el control del dispositivo y ordenarle que lance distintos ataques DDoS.
Con miles de millones de dispositivos ARM actualmente en funcionamiento, la motivación de los desarrolladores de Spike es evidente: crear una botnet que, por su enorme número de dispositivos, pueda eclipsar a las botnets basadas en PC.
Además, como los dispositivos IoT suelen ser autónomos y rara vez requieren que el usuario intervenga en una interacción, cuando se comportan de forma anómala, el usuario no está presente para advertir que algo va mal y el ataque puede pasar inadvertido durante mucho tiempo. Se sabe que los ataques impulsados por Spike alcanzan cientos de Gbps, por lo que se necesita artillería pesada para limpiar las comunicaciones y evitar el tiempo de inactividad.
Ya hay medidas de seguridad disponibles para los administradores prudentes de dispositivos IoT. Algunas son de alto nivel, pero vale la pena buscar en los foros instrucciones precisas sobre cómo implementarlas en un sistema concreto:
1. ACL —lista de control de acceso—. Si el fabricante ha olvidado especificar de forma predeterminada qué usuario puede hacer qué en cada archivo o carpeta del dispositivo, el propietario debe actuar con la debida diligencia para asegurarse de que las estructuras de archivos raíz y del sistema sean extremadamente estrictas respecto a quién permiten permisos de lectura y escritura. Esto garantizará que el atacante no pueda instalar el código que convierte el dispositivo en un zombi.
2. SNORT: para la inundación Get de la capa 7, se puede utilizar un programa de código abierto como Snort con una regla que excluya —y notifique— las solicitudes Get que coincidan con la firma de Spike.
3. Fortalecimiento del sistema: para ARM y el IoT en general, tenga en cuenta los siguientes 10 puntos principales.
4. Regla YARA: es un formato que permite identificar —y compartir— información dentro de los archivos. En el caso de Spike, se trataría de los archivos de carga útil, que incluyen la cadena «Mr. Black»; probablemente, una referencia al nombre del ingeniero.
Para poner las cosas en perspectiva, las plataformas IoT como puntos de lanzamiento de ataques DDoS todavía no representan una gran parte del panorama de amenazas. Solo se han llevado a cabo varios ataques mediante Spike, aunque algunos de ellos fueron bastante importantes, mientras que el resto se realiza mediante botnets de arquitectura x86 convencional.
Al parecer, la incorporación de dispositivos integrados a los vectores de ataque no supone un cambio hacia el uso exclusivo de estos dispositivos en lugar de los ordenadores zombi tradicionales. Se trata simplemente de un arma formidable más en el arsenal de los perpetradores en Internet, que contribuye a su capacidad total de ataque y explica, al menos en parte, el drástico aumento de los Gbps que los atacantes alcanzan en cada ofensiva.
Este artículo se publica en colaboración con The Smart Data Collective. Su publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para mantenerse al día con la Agenda, suscríbase a nuestro boletín semanal.
Autora: Sophie Davidson es escritora independiente.
Imagen: Una ilustración muestra una proyección de código binario sobre un hombre que sostiene un ordenador portátil. REUTERS/Kacper Pempel.
