Um investigador de segurança, Sam Curry, descobriu uma falha de segurança extremamente grave nos sistemas da Subaru que permitia que milhões de carros fossem localizados, desbloqueados, e até mesmo ligados remotamente.
A vulnerabilidade foi encontrar no sistema Starlink da Subaru, que está presente na grande maioria dos seus carros. Por isso, esta vulnerabilidade colocou literalmente milhares de utilizadores em risco de ver os seus carros desaparecerem no horizonte.
Persistência de Sam Curry revelou a maça envenenada escondida nos sistemas da Subaru
Apesar da sua experiência, esta não foi uma investigação nada fácil para Sam Curry. O investigador teve de propor um acordo pouco comum com a sua mãe, prometendo que lhe comprava um Subaru elétrico, desde que ela o deixasse tentar hacker o carro.
Curry começou por concentrar os seus esforços na aplicação MySubaru, mas acabou por desistir sem conseguir encontrar nenhuma falha de segurança na aplicação. Após percorrer vários sites relacionados com a fabricante de carros na tentativa de encontrar uma falha crítica, foi apenas com a ajuda de um amigo que acabou por ver a luz no final do túnel.
Encontraram um subdomínio oficial da Subaru que, apesar de exigir um login de funcionário, revelou um código de recuperação de password inseguro num diretório Javascript. Com esta descoberta, precisaram apenas de encontrar um endereço de email de um funcionário válido, e altera a sua password através desta falha. A última barreira foi a autenticação de dois fatores (2FA), que acabou por não ser tão complicado quanto isso.
Um mundo de “maravilhas” após entrada no sistema da Subaru
Assim que conseguiram entrar no sistema da Subaru, Curry deparou-se com um grande número de funcionalidades que poderiam deixar os donos dos carros em muito maus lençóis. Uma das que mais atenção conquistou foi a “Última Localização Conhecida”, que curiosamente, ao inserir o apelido da sua mãe e o código postal, conseguiu obter registos do carro. Não só a sua última localização conhecida, mas sim todo o histórico de navegação do último ano, com uma precisão de até 5 metros.
Com o decorrer da investigação, descobriu ainda que conseguiu facilmente assumir remotamente o controlo de qualquer Subaru equipado com o sistema Starlink. Com a ajuda de um amigo que tinha um Subaru, conseguiram aceder ao painel de controlo do carro, onde registaram um novo utilizador como administrador. Desta forma, acabaram por conseguir desbloquear o carro remotamente, sem que o amigo recebesse sequer uma notificação de que tinha sido adicionado um novo administrador.
Subaru corrigiu a falha em menos de 24 horas
Assim que terminou a sua investigação Curry alertou a Subaru, que no dia seguinte já havia corrigido a falha no seu sistema. A fabricante nipónica confirmou que não encontrou registos de que mais alguém se possa ter aproveitado desta vulnerabilidade. Ainda assim, a grande facilidade com que Curry conseguiu ganhar acesso ao sistema de controlo da Subaru é no mínimo assustador.
Mas, mais assustador ainda é que o próprio afirmou que a descoberta que fez não irá surpreender de todo restantes profissionais da área de segurança. O setor automóvel é famoso por funcionar muito à base da confiança, com os funcionários da maioria das fabricantes a terem acesso a uma quantidade enorme de dados pessoais de utilizadores e o seus carros. Esta facilidade na transmissão de informação abre inúmeras portas para que alguém com más intenções consiga implementar os seus planos sem grandes barreiras.
Obviamente que com o grande crescimento do mercado dos carros elétricos estas vulnerabilidades aumentaram não só em termos de volume, mas também no que respeita aos potenciais danos.
Outros artigos interessantes:
