Un Hacker viola il sistema di infotainment della sua Hyundai utilizzando Google

Redazione RHC : 2 Settembre 2022 08:44

Uno sviluppatore afferma di essere stato in grado di eseguire il proprio software sull’hardware di infotainment della sua auto dopo aver scoperto che il produttore del veicolo aveva protetto il suo sistema utilizzando chiavi che non solo erano pubblicamente note, ma erano state prelevate da esempi di programmazione utilizzando il famoso motore di ricerca Google.

Daniel Feldman, un ingegnere del software con sede a Minneapolis, nel Minnesota, voleva modificare il sistema di infotainment (IVI) della sua Hyundai Ioniq SEL del 2021 e ha scritto una guida su come farlo divisa in tre parti [ Parte 1 | Parte 2 | parte 3 ] 

Per farlo, avrebbe dovuto capire come connettersi al dispositivo e aggirarne la sua sicurezza.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta RHC attraverso:   L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Dopo aver cercato di capire come personalizzare gli aggiornamenti del firmware per il sistema D-Audio2 dell’IVI, prodotto da Hyundai Mobis, una sussidiaria della casa automobilistica, Feldman ha trovato un modo inaspettato: tramite Google.

L’IVI accetta gli aggiornamenti del firmware sotto forma di archivi ZIP protetti da password.

Feldman ha scaricato un file ZIP di aggiornamento dal sito web di Hyundai ed è stato in grado di aggirare la semplice protezione con password dell’archivio per accedere al suo contenuto, che conteneva immagini del firmware crittografate per varie parti dell’IVI.

Il suo obiettivo era quindi quello di creare le proprie immagini del firmware e crittografarle in un file zip in un modo che l’auto potesse accettare, installare ed eseguire, consentendogli di prendere il controllo dell’hardware dal proprio codice fornito.

Per fortuna, Feldman ha trovato uno script di installazione di Linux sul sito Web di Mobis che ha creato un file ZIP adatto per eseguire un aggiornamento di sistema.

“Si scopre che la chiave di crittografia in questo script è la prima chiave CBC AES a 128 bit di esempio elencata in un documento NIST”

Lo script includeva la password ZIP richiesta per gli archivi di aggiornamento del sistema insieme a una chiave di crittografia AES symmetric Cipher Block Chaining (CBC) (una singola chiave invece di una coppia di chiavi asimmetriche pubbliche/private RSA) e IV (vettore di inizializzazione). valore per crittografare le immagini del firmware.

Ciò significava che poteva utilizzare la chiave AES per decrittografare le immagini del firmware, modificarle e quindi utilizzare lo script per crittografare nuovamente le immagini con la chiave AES e comprimere tutto in un pacchetto di file ZIP protetto da password in grado di ospitare il sistema di aggiornamento IVI di Hyundai .

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli