El pirateo de marcapasos puede matar a través de una laptop

Se puede ordenar a los marcapasos de varios fabricantes que entreguen un choque mortal de 830 voltios de una computadora portátil a una distancia de hasta 50 pies, el resultado deficiente programación de software por parte de compañías de dispositivos médicos.

La nueva investigación proviene de Barnaby Jack del proveedor de seguridad IOActive, conocido por su análisis de otros equipos médicos, como dispositivos de administración de insulina.

Jack, que habló en la seguridad Breakpoint conferencia en Melbourne el miércoles, dijo que la falla radica en la programación de los transmisores inalámbricos utilizados para dar instrucciones a los marcapasos y desfibriladores cardioversores implantables (ICD), que detectan contracciones cardíacas irregulares y entregan una descarga eléctrica para evitar un ataque al corazón.

[Lectura adicional: cómo eliminar el malware de su PC con Windows]

Un ataque exitoso usando la falla "definitivamente podría resultar en muertes", dijo Jack, que ha notificado a los fabricantes del problema, pero no identificó públicamente a las compañías.

En una demostración de video, Jack mostró cómo podía causar de forma remota que un marcapasos emitiera repentinamente un choque de 830 voltios, que se podía escuchar con un sonido audible crujiente.

Riesgo inalámbrico

Se vendieron hasta 4.6 millones de marcapasos e ICD entre 2006 y 2011 solo en los EE. UU., Dijo Jack. En el pasado, los marcapasos y los ICDs fueron reprogramados por el personal médico usando una varilla que tenía que pasar a unos pocos metros de un paciente que tenía uno de los dispositivos instalados. La varita gira un interruptor de software que le permitiría aceptar nuevas instrucciones.

Barnaby Jack

Pero la tendencia ahora es ir inalámbrico. Varios fabricantes médicos ahora están vendiendo transmisores de cabecera que reemplazan la varita y tienen un alcance inalámbrico de hasta 30 a 50 pies. En 2006, la Administración de Alimentos y Medicamentos de EE. UU. Aprobó dispositivos implantables completos basados ​​en radiofrecuencias que operan en el rango de 400MHz, dijo Jack.

Con ese amplio rango de transmisión, los ataques remotos contra el software se vuelven más factibles, dijo Jack. Al estudiar los transmisores, Jack descubrió que los dispositivos daban su número de serie y número de modelo después de contactar a uno de forma inalámbrica con un comando especial.

Con los números de serie y modelo, Jack podía reprogramar el firmware de un transmisor, lo que haría permitir la reprogramación de un marcapasos o ICD en el cuerpo de una persona.

"No es difícil ver por qué esta es una característica mortal", dijo Jack.

Su investigación apenas comienza. La FDA, dijo, solo mira la efectividad médica de los dispositivos y no hace una auditoría del código de un dispositivo.

"Mi objetivo es crear conciencia sobre estos posibles ataques maliciosos y alentar a los fabricantes a actuar para revisar la seguridad de los dispositivos. su código y no solo los mecanismos de seguridad tradicionales de estos dispositivos ", dijo Jack.

Datos vulnerables, también

También encontró otros problemas con los dispositivos, como el hecho de que a menudo contienen datos personales sobre pacientes, como su nombre y su doctor. También se encontraron otros signos reveladores de código descuidado, como el acceso potencial a los servidores remotos utilizados para desarrollar el software.

"La nueva implementación es defectuosa de muchas maneras", dijo Jack. "Realmente necesita ser revisado".

Jack está desarrollando "Electric Feel", una aplicación con una interfaz gráfica de usuario que permitiría al usuario escanear en busca de un dispositivo médico dentro del alcance. Aparecerá una lista y un usuario puede seleccionar un dispositivo, como un marcapasos, que luego se puede apagar o configurar para administrar un choque.

Un marcapasos estándar

Como si esto no fuera lo suficientemente malo, Jack dijo que es posible cargar firmware especialmente diseñado para los servidores de una empresa que infectaría múltiples marcapasos e ICD, propagándose a través de sus sistemas como un virus real.

"Estamos mirando potencialmente a un gusano con la capacidad de cometer asesinatos en masa", dijo Jack. "Es un poco aterrador".

Irónicamente, tanto los implantes como los transmisores inalámbricos son capaces de utilizar el cifrado AES (Estándar de Encripción Avanzada), pero no está habilitado, dijo Jack. Los dispositivos también tienen "puertas traseras" o formas en que los programadores pueden acceder a ellas sin la autenticación estándar usando un número de serie y modelo.

Existe una necesidad médica legítima ya que sin puertas traseras, es posible que tenga que "cortar a alguien". Jack dijo. "Pero si van a tener una puerta trasera, al menos deben estar incrustados en el interior del núcleo del ICD. Estos son dispositivos costosos".

La presentación de Jack quedó bellamente ilustrada en una forma de cómic. En un momento dado, una diapositiva mostraba a un hombre que se parecía bastante al ex vicepresidente de Estados Unidos Dick Cheney, quien ha sufrido problemas cardíacos desde hace mucho tiempo. Los defectos en el dispositivo, dijo Jack, podrían significar que un atacante podría realizar "un asesinato bastante anónimo" desde 50 pies de distancia.

"Para mí, una computadora portátil no se ve como un dispositivo capaz de matar a alguien". Jack dijo.

O como un miembro de la audiencia agregó: "No hay flash de boca con una computadora portátil".

Envíe sus sugerencias y comentarios a [email protected]. Sígueme en Twitter: @jeremy_kirk