Il pacemaker hack può uccidere tramite laptop

I pacemaker di diversi produttori possono essere comandati di consegnare uno shock mortale a 830 volt da qualcuno su un laptop fino a 50 piedi di distanza, il risultato

La nuova ricerca arriva da Barnaby Jack del vendor di sicurezza IOActive, noto per le sue analisi di altre apparecchiature mediche come i dispositivi per la fornitura di insulina.

Jack, che ha parlato alla sicurezza Breakpoint mercoledì a Melbourne, ha detto che il difetto sta nella programmazione dei trasmettitori wireless usati per dare istruzioni ai pacemaker e ai defibrillatori cardioverter impiantabili (ICD), che rilevano contrazioni cardiache irregolari e forniscono una scossa elettrica per scongiurare un infarto.

[Ulteriori letture: come rimuovere malware dal PC Windows]

Un attacco riuscito che utilizza il difetto "potrebbe sicuramente causare vittime", ha detto Jack, che ha notificato i produttori del problema, ma non ha identificato pubblicamente le aziende.

In una dimostrazione video, Jack ha mostrato come poteva lontanamente causare a un pacemaker di rilasciare improvvisamente uno shock da 830 volt, che poteva essere udito con un pop nitido.

Rischio wireless

Solo negli Stati Uniti sono stati venduti ben 4,6 milioni di pacemaker e ICD tra il 2006 e il 2011, ha detto Jack. In passato, pacemaker e ICD sono stati riprogrammati dal personale medico utilizzando una bacchetta che doveva passare entro un paio di metri da un paziente che ha installato uno dei dispositivi. La bacchetta inverte un interruttore software che gli consente di accettare nuove istruzioni.

Barnaby Jack

Ma la tendenza è ora di passare al wireless. Diversi produttori medici stanno ora vendendo trasmettitori sul comodino che sostituiscono la bacchetta e hanno una portata senza fili da 30 a 50 piedi. Nel 2006, la Food and Drug Administration degli Stati Uniti ha approvato dispositivi impiantabili basati su radiofrequenza che operano nell'intervallo di 400 MHz, ha detto Jack.

Con quell'ampio raggio di trasmissione, gli attacchi remoti contro il software diventano più fattibili, ha detto Jack. Dopo aver studiato i trasmettitori, Jack ha scoperto che i dispositivi avrebbero rinunciato al numero di serie e al numero di modello dopo aver contattato senza fili uno con un comando speciale.

Con i numeri di serie e di modello, Jack poteva quindi riprogrammare il firmware di un trasmettitore, che avrebbe consentire la riprogrammazione di un pacemaker o ICD nel corpo di una persona.

"Non è difficile capire perché questa è una caratteristica mortale", ha detto Jack.

La sua ricerca è appena iniziata. La FDA, ha detto, esamina solo l'efficacia medica dei dispositivi e non fa un controllo del codice di un dispositivo.

"Il mio obiettivo è quello di sensibilizzare su questi potenziali attacchi dannosi e incoraggiare i produttori ad agire per rivedere la sicurezza di il loro codice e non solo i tradizionali meccanismi di sicurezza di questi dispositivi ", ha detto Jack.

Anche i dati vulnerabili

Ha anche riscontrato altri problemi con i dispositivi, come il fatto che spesso contengono dati personali sui pazienti, come il loro nome e il loro medico. Sono stati trovati anche altri segni rivelatori di codice sciatto, come il potenziale accesso ai server remoti utilizzati per sviluppare il software.

"La nuova implementazione è difettosa in così tanti modi", ha detto Jack. "Ha davvero bisogno di essere rielaborato."

Jack sta sviluppando "Electric Feel," un'applicazione con un'interfaccia grafica utente che consentirebbe all'utente di cercare un dispositivo medico nel raggio d'azione. Apparirà un elenco e un utente può selezionare un dispositivo, come un pacemaker, che può quindi essere spento o configurato per erogare uno shock.

Un pacemaker standard

Come se ciò non fosse abbastanza grave, Jack ha detto che è possibile caricare firmware appositamente predisposto per i server di un'azienda che potrebbero infettare più pacemaker e ICD, diffondendosi attraverso i loro sistemi come un vero virus.

"Stiamo potenzialmente guardando un verme con la capacità di commettere un omicidio di massa", ha detto Jack. "È piuttosto spaventoso."

Ironia della sorte, sia gli impianti che i trasmettitori wireless sono in grado di utilizzare la crittografia AES (Advance Encryption Standard), ma non è abilitato, ha detto Jack. I dispositivi hanno anche "backdoor" o modi in cui i programmatori possono accedervi senza l'autenticazione standard utilizzando un numero di serie e di modello.

C'è un bisogno medico legittimo poiché senza backdoor, potresti dover "tagliare qualcuno aperto" Jack ha detto. "Ma se avranno una backdoor, almeno l'avranno inserito nel profondo del core ICD. Questi sono dispositivi costosi."

La presentazione di Jack è stata magnificamente illustrata in una moda da fumetto. Ad un certo punto, una diapositiva mostrava un uomo che sembrava molto simile all'ex vicepresidente degli Stati Uniti Dick Cheney, che ha sofferto a lungo di problemi cardiaci. I difetti del dispositivo, disse Jack, potevano significare che un attaccante poteva eseguire "un assassinio abbastanza anonimo" a 50 piedi di distanza.

"Per me, un computer portatile non sembra un dispositivo che sia in grado di uccidere qualcuno" Jack ha detto.

O come membro del pubblico ha aggiunto: "Non c'è flash di museruola con un laptop."

Invia suggerimenti e commenti a [email protected]. Seguimi su Twitter: @jeremy_kirk