Segurança IoT: Entendendo e Defendendo Contra Mirai, Stuxnet e Outros Ciberataques

Adaptado de Internet of Things for Architects, por Perry Lea.

Capítulo 12. Segurança IoT

Por Perry Lea

Anatomia de Ciberataques IoT

Embora o campo de cibersegurança seja vasto, este capítulo foca em três vetores de ataque representativos baseados em IoT que ilustram a amplitude de ameaças através de hardware, redes, protocolos, componentes de nuvem e sistemas operacionais. Entender essas modalidades de ataque habilita arquitetos a projetar defesas resilientes.

• Mirai: A campanha de negação de serviço distribuída (DDoS) mais danosa da história, originada de dispositivos IoT inseguros mundialmente.
• Stuxnet: Uma arma cibernética de estado-nação que visou PLCs SCADA industriais, causando danos irreversíveis às centrífugas nucleares do Irã.
• Chain Reaction: Uma prova de conceito de pesquisa demonstrando como uma simples luz LED pode comprometer redes PAN sem conectividade à internet.

Dissecando essas ameaças, designers podem selecionar tecnologias e processos apropriados para prevenir incidentes similares.

Mirai

Mirai é um malware que apareceu primeiro em agosto de 2016, infectando dispositivos IoT baseados em Linux e formando uma botnet capaz de lançar ataques DDoS massivos. Vítimas de alto perfil incluíram o blog de segurança Krebs on Security, provedor DNS Dyn e operadora de telecom Lonestar Cell, entre outros. O impacto da botnet foi sentido em um espectro de serviços — Sony PlayStation, Amazon, GitHub, Netflix, PayPal, Reddit e Twitter — quando Dyn foi sobrecarregado.

Em seu pico, Mirai infectou aproximadamente 600.000 dispositivos, predominantemente câmeras IP, DVRs, roteadores, telefones VOIP, impressoras e set-top boxes. O malware foi distribuído em três estágios:

1. Descoberta: Mirai realizou varredura TCP SYN assíncrona para SSH/Telnet nas portas 23 e 2323, respeitando uma blacklist de 3,4 milhões de endereços IP (ex.: Serviço Postal dos EUA, Hewlett Packard, Departamento de Defesa). A taxa de varredura média foi 250 bytes/s, velocidade modesta adequada para dispositivos IoT restritos.
2. Força Bruta de Credenciais: O malware tentou 62 combinações de usuário/senha. Logins bem-sucedidos foram reportados a um servidor central de comando-e-controle (C2).
3. Infecção e Persistência: Um binário loader identificou a arquitetura do alvo (ARM 32-bit, MIPS ou X86) e implantou payloads específicos do dispositivo. Processos concorrentes nas portas 22/23 foram terminados, e o loader foi ofuscado e deletado para evitar detecção. O bot permaneceu dormente até comando C2 ser recebido.

Táticas DDoS do Mirai incluíram floods SYN, floods de rede GRE IP, floods STOMP e floods DNS. Em cinco meses, a botnet executou 15.194 comandos de ataque contra 5.042 sites na internet, gerando picos de 623 Gbps — registrando o ataque DDoS mais poderoso até então.

Stuxnet

Stuxnet representa a primeira arma cibernética documentada engenhada para danificar permanentemente infraestrutura industrial de outra nação. O worm visou PLCs Siemens S7-300 controlando sistemas SCADA críticos. Seu payload foi engenhado para alterar velocidade rotacional de motores em equipamentos industriais — especificamente bombas e centrífugas de enriquecimento de urânio — modificando variáveis de drives de frequência variável operando a 807 Hz e 1210 Hz.

A sofisticação do Stuxnet residiu em seus exploits zero-day multi-estágio, capacidades de rootkit e a precisão com que reprogramou lógica de PLC, causando falhas catastróficas sem alertar operadores.

Continue para a página dois deste artigo >>