Internet das Coisas representa um risco para toda a web

São Paulo – A internet oferece um fluxo quase infinito de informação e formas de comunicação gratuitas. Apesar de tudo funcionar de maneira estável para a grande maioria dos internautas nos últimos anos, todo esse ambiente online está sob constante ameaça de indisponibilidade. Um belo dia você pode acordar e não conseguir mais acessar o seu Gmail. A Netflix pode parar de funcionar. Atualizar seu status no Facebook ou mandar mensagens no WhatsApp? Nem pensar. Tudo isso pode acontecer por causa de um tipo crescente de ataque virtual conhecido como DDoS.

Essa ameaça à internet como a conhecemos hoje é um tipo de ataque hacker que não requer qualquer tipo de invasão muito sofisticada, nem a instalação de um software malicioso em um servidor ou a intervenção de um internauta leigo em tecnologia da informação. "DDoS" é uma sigla em inglês que abrevia “negação de serviço”. Em termos simples, ele causa uma sobrecarga em servidores responsáveis por um ou mais sites usando aparelhos conectados à internet.

Em grande parte dos casos, o problema que viabiliza o DDoS é ocasionado pelas fabricantes de hardware (e pelos consumidores) ou pelos técnicos que promovem instalações desses dispositivos conectados à web.

Em 21 de outubro, uma série de ataques desse tipo praticamente quebrou a internet. O alvo era a Dyn, fornecedora de serviços de DNS para diversos sites, como Netflix, PayPal, Twitter, SoundCloud e Spotify. Até o jornal The New York Times e o site da revista Wired saíram do ar. Os servidores afetados no ataque estavam localizados nos Estados Unidos, mas a repercussão do caso atingiu nível global. Internautas de todo o mundo ficaram sem acesso a alguns sites por conta dessa série de ataques DDoS. O Gizmodo tem uma lista dos sites que foram prejudicados nessa data.

A razão dos ataques não foi abertamente divulgada pela Dyn ou por qualquer grupo de hackers conhecido, mas o pesquisador de segurança Brian Krebs afirma em seu blog que os hackers responsáveis pelos ataques pediram resgate no valor de 5 bitcoins, com multa diária no mesmo valor caso o pedido não fosse atendido. Vale notar que a Oracle comprou a Dyn logo após os ataques.  

Também em 2016, mais precisamente em 30 de setembro, outro ataque semelhante aconteceu e ele foi um dos maiores da história. As botnets são redes de computadores zumbis, na gíria do ramo. Basicamente, um malware se instala em uma série de PCs e eles participam de algum tipo de ataque hacker sem que os donos desses eletrônicos autorizem ou sequer saibam que eles estão ocorrendo. Esse tipo de ameaça já é antiga no meio dos PCs, mas agora ela também está em evidência nas câmeras conectadas, bem como em roteadores.

Exemplo disso é o ataque contra a OVH. Mais de 145 mil câmeras com Wi-Fi foram usadas para promover um ataque de DDoS à empresa de serviços de computação em nuvem. A velocidade do envio de dados aos servidores da companhia foi de 1,1 terabits por segundo. Um segundo ataque teve velocidade de 901 Gbps. 

Outro ataque, de menor porte, foi promovido neste ano usando uma botnet (rede zumbi) de 25 mil câmeras conectadas. No pico do ataque, foram gerados mais de 50 mil solicitações HTTP, ocasionando sobrecarga de servidores.  

Durante a Olimpíada Rio-2016, os sites oficiais do evento esportivo foram alvos de ataques DDoS, que tiveram picos de 540 Gbps. Segundo a empresa de proteção contra DDoS Arbor Networks, dispositivos de internet das coisas foram usados para gerar esse poder de ataque. Porém, os sites permaneceram online porque os organizadores da Olimpíada prepararam as páginas para suportar esse tipo de investida maliciosa. 

Mira na sua câmera

Um dos malwares que infecta os dispositivos de internet das coisas é chamado Mirai. Ele já infectou mais de 493 mil dispositivos conectados desde a liberação de seu código fonte na web, de acordo com a divisão de segurança virtual da provedora de internet Level 3. Segundo dados divulgados em outubro deste ano, mais de 113 mil desses aparelhos eram do Brasil. O malware tem foco em gravadores de vídeo (DVRs), usados para receber imagens de câmeras com Wi-Fi. 

Segundo Antonio Augusto Medeiros Fröhlich, membro sênior do IEEE (Instituto de Engenheiros Eletricistas e Eletrônicos) e professor da Universidade Federal de Santa Catarina, se algo não mudar nos próximos anos, a frequência e intensidade dos ataques DDoS pelo mundo vai aumentar. "As câmeras de vigilância e roteadores estão sempre ligados. Por isso, a disponibilidade para ataques é grande e esses aparelhos têm normalmente conexões de internet banda larga", afirmou Fröhlich, em entrevista a EXAME.com.

"A fabricante da primeira geração de dispositivos de Internet das Coisas oferece um manual de configuração que pede ao usuário que troque sua senha manualmente. Porém, muitas vezes é um técnico que coloca o equipamento na casa das pessoas. Se ele trocar, a senha, uma nova visita técnica precisa ser agendada. A conveniência evita a visita e facilita a manutenção. Manter a senha padrão é uma conveniência para a empresa e para o usuário nesse ponto, mas ela representa um grande risco", declarou o professor.  

Big Brother involuntário

Esse problema das câmeras com senhas padrão não é exatamente novidade. Conforme reportado pela Kaspersky, no início deste ano, hackers colocaram no YouTube vídeos ao vivo de câmeras que foram invadidas. 

Há também alguns sites que transmitem sinais de câmeras IP em tempo real, como o Shodan e o Insecam. Você pode ver de tudo lá, como plantações de maconha ou jaulas de coelhos. Esses sites tentam alertar sobre a importância de ter senhas minimamente fortes para proteger câmeras conectadas – apesar de ser também locais de deleite para voyeurs.

Se a imagem da sua câmera conectada estiver sendo transmitida nesse site, a solução é mudar a sua senha (ou colocar alguma).

DDoS massivo

A quantidade de dispositivos conectados à internet só tende a aumentar. De acordo com um estudo da Cisco, serão 50 bilhões de aparelhos ligados à web em 2020. 

No relatório de previsões Roundup 2017, a empresa de segurança digital Trend Micro indica que os dispositivos de Internet das Coisas terão papel de destaque nos ataques massivos de DDoS que serão promovidos por hackers no ano que vem. Webcams, roteadores, sistemas de transporte público, ar-condicionado, aquecedores domésticos e carros conectados à internet são dispositivos que sofreram ataques remotos de cibercriminosos no ano de 2016. E mais estão por vir.

Com isso, o descuido com a segurança desses gadgets põe em risco a disponibilidade de informações e de serviços na internet, de acordo com Nelson Barbosa, engenheiro de segurança da Norton. "Isso é um prato cheio para quem é mal intencionado para promover um ataque. Infelizmente, dado o cenário de segurança que temos hoje, o bom paga pelo mau", disse Barbosa, em entrevista a EXAME.com.

O engenheiro afirma também que os usuários de dispositivos conectados à internet precisam tomar algumas medidas básicas de segurança para evitar problemas. "Temos que nos proteger das pessoas que querem nos causar algum tipo de de mal. Mudar essa cultura preventiva é um trabalho de formiguinha. Temos que plantar, aos poucos, a consciência da proteção digital nas cabeças das pessoas", declarou Barbosa.

Luiz Cesar de Oliveira, vice-presidente da Viavi Solutions para América Latina e Caribe, lembra que, além de ter segurança nos dispositivos, medidas podem ser tomadas nas redes, especialmente no caso de empresas, que têm equipes de TI dedicadas a evitar ataques hackers. "É um desafio implementar padrões de segurança. Se não conseguirmos isso na ponta, no dispositivo, é na rede que será preciso tomar alguma medida de segurança", declarou Oliveira.

Jogue a sua câmera no lixo

Pesquisadores da empresa de segurança CyberReason descobriram falhas em câmeras conectadas que ainda não têm soluções por parte das fabricantes. Essas brechas permitem que um hacker assuma total controle da sua câmera, ou seja, ele poderá ver e ouvir tudo que acontece no ambiente em tempo real ou mesmo utilizar o dispositivo para promover um ataque DDoS.

Os modelos afetados por essas falhas ou têm senhas padrão 888888 ou têm números de série que começam com os seguintes códigos:

– MEYE
– MCI
– VST*
– XXC
– 005*
– J  MTE
– WEV
– PIPCAM
– SURE
– NIP
– EST
– VIEW
– PSD

O vídeo a seguir mostra o processo de invasão de uma câmera conectada.

https://www.youtube.com/watch?v=Yaefp0A62bM

A única forma de garantir que uma câmera afetada esteja segura contra essas explorações promovidas por hackers é jogando-a fora", disse o pesquisador Amit Serper. "É sério."

Como não transformar sua câmera em um zumbi

Para se proteger da maioria dos hacks com câmeras ou outros dispositivos conectados à internet, a solução é sempre configurar senhas de acesso fortes, ou seja, que não sejam previsíveis, como o ano do seu nascimento ou o nome de um parente. Lembrar de tantas senhas, porém, não é simples. Mas você pode adotar gerenciadores de senhas, como o LastPass, que é gratuito e tem um gerador de senhas que oferece longas combinações de caracteres muito difíceis de descobrir.

Outra medida importante a ser tomada para a prevenção de invasões de hackers é atualizar o software da sua câmera e do seu roteador, o firmware, normalmente disponibilizado para download no site da fabricante. Fora isso, é sempre bom ter um firewall ativo. 

Há também, é claro, quem opte por medidas mais drásticas, como é o caso do CEO e cofundador do Facebook, Mark Zuckerberg, que cobre sua webcam com fita adesiva. Mas isso não seria muito inteligente se o seu objetivo é ter uma câmera cujas imagens você – e somente você – pode acessar via internet.

Agora, se você é jornalista ou mantém um blog ou site com divulgações de conteúdos de interesse público, o Google possui uma tecnologia de proteção de DDoS gratuita chamada Project Shield. Basta se inscrever no programa online e você terá acesso ao código que precisa usar para proteger sua página na web.

O professor Fröhlich dá uma dimensão da importância de ter cuidado com as suas senhas, seja você um usuário doméstico de produtos tecnológicos ou mesmo um profissional de TI de uma grande empresa ou órgão público. "Todos esses ataques são um bom alerta do começo de um movimento. Nos próximos dez anos, veremos coisas piores, como semáforos que abrem para os dois lados ao mesmo tempo ou mesmo placas mostrando mensagens indevidas nas ruas", disse.

E se você pensa que pode ficar despreocupado porque não tem nem pretende ter câmeras conectadas na sua casa ou empresa, tudo bem. Mas é melhor se prevenir e gerenciar bem as suas senhas do que descobrir tarde demais que a sua geladeira faz parte de uma rede zumbi de envio de spam.