На конференции Black Hat 2018 года исследователи в области кибербезопасности Билли Риос и Джонатан Баттс сообщили, что HackRF можно использовать для взятия под контроль инсулинового насоса Medtronic. Тогда FDA выпустила предупреждения, однако недавно снова было выпущено новое предупреждение о том, что инсулиновые насосы Medtronic MiniMed 508 и Paradigm могут быть уязвимы к беспроводным атакам. Уязвимости могли позволить злоумышленникам по беспроводной связи вызывать подачу чрезмерного количества инсулина или остановку подачи инсулина.
Очевидно, что эти уязвимости нельзя исправить обновлением программного обеспечения, поэтому Medtronic выпустил добровольный отзыв, призывая клиентов обратиться к своим медицинским специалистам, чтобы они могли перейти на более новые устройства, которые более безопасны (хотя эти новые устройства не доступны повсеместно за пределами США). Также отмечается, что имплантируемые кардиодефибрилляторы (ICD) Medtronic, которые, по-видимому, разделяют ту же уязвимость, не были отозваны.
Для обоих типов устройств — насосов и ICD — проблемы возникают из-за того, что беспроводной протокол «Conexus», используемый в изделиях, не использует шифрование, аутентификацию или авторизацию.
Статья газеты The Register пишет:
Киберисследователи Билли Риос, Джонатан Баттс и Джесси Янг обнаружили, что беспроводная радиосвязь, используемая между уязвимым насосом MiniMed и его устройством CareLink, незащищена. Злоумышленник, находившийся достаточно близко к насосy, мог выдать себя за устройство CareLink и отправлять по воздуху потенциально опасные для жизни команды инсулиновому насосу, используя программно-определяемое радио или аналоговый набор.
«Уязимости затрагивают радиопередающие функции», — сообщил Риос The Register. «Они используют собственный радиопротокол, и уязимости эксплуатируются через использование software-defined radios».
Ранее мы также опубликовано о том, как RTL-SDR можно использовать для перехвата RF-пакетов данных с насоса MiniMed, используя rtlmm software, и в 2016 году мы опубликовали о том, как данные можно перехватить с имплантируемого дефибриллятора.
Источник:
