Hackerata l’Honda Civic. Si può spegnere il motore in prossimità.

I modelli Honda Civic prodotti tra il 2016 e il 2020 contengono vulnerabilità che consentono agli aggressori di intercettare e ritrasmettere i codici dei portachiavi.

Gli exploit di accesso senza chiave non sono una novità. Qualsiasi intruso, armato della giusta attrezzatura, può determinare il codice di blocco o sblocco e ritrasmetterlo. Il problema che stanno riscontrando alcuni veicoli Honda dimostra chiaramente che le case automobilistiche non hanno ancora adattato le loro tecnologie alle minacce note.

Infatti, la vulnerabilità CVE-2022-27254 è stata scoperta da quattro ricercatori: i professori Hong Liu e Ruolin Zhou dell’Università del Massachusetts, lo specialista di computer Blake Berry e Sam Curry, CSO Cybereason. Lo studio ha mostrato che i veicoli Honda Civic LX, EX, EX-L, Touring, Si e Type R prodotti tra il 2016 e il 2020 hanno questo problema.

Avvio delle iscrizioni al corso Cyber Offensive Fundamentals Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica? La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima. Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected]. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Per eseguire l’attacco, gli aggressori avevano bisogno solo di pochi componenti facilmente accessibili: un laptop, il kit di sviluppo GNURadio, il software ricevitore Gqrx Software-Defined Radio (SDR), l’accesso al sito Web FCCID.io e HackRF One SDR. 

Il costo per questo attacco (oltre a possedere un laptop) sarebbe di soli 300 dollari, ovvero il costo di un HackRF One. Tutto il software utilizzato nell’attacco è gratuito e open source.

La pagina CVE della vulnerabilità scoperta ne menziona anche un’altra, la CVE-2019-20626. Questo problema è stato scoperto nei veicoli Honda HR-V del 2017 dal ricercatore paraguaiano di sicurezza Victor Casares e rivelato in un post del 2019.

Un problema non correlato ma simile in una Honda Civic del 2012 consente un attacco simile, ma con un problema diverso: un codice variabile senza scadenza e una contro risincronizzazione. 

Si noti che il problema non riguarda solo Honda. Nel 2016, The Register ha riferito di un esperimento in cui i ricercatori hanno clonato un portachiavi Volkswagen e sono stati in grado di usarlo per sbloccare potenzialmente 100 milioni di auto.

Secondo i ricercatori che hanno scoperto la vulnerabilità, i proprietari di veicoli non hanno molte opzioni di protezione fintanto che i produttori continuano a utilizzare codici statici. Secondo i ricercatori, i codici rotanti, che cambiano a ogni pressione di un pulsante, sono “una tecnologia di sicurezza utilizzata per fornire un nuovo codice per ogni autenticazione del sistema Remote Keyless Entry (RKE) o Passive Keyless Entry (PKE).”

I sistemi PKE, secondo i ricercatori, sono molto migliori dei sistemi RKE. 

Senza fare affidamento su un telecomando per la trasmissione, l’auto stessa è costantemente alla ricerca di un telecomando RF passivo, come una chiave magnetica della porta, e una volta che è abbastanza vicino, l’auto si sblocca automaticamente. Il requisito obbligatorio che la chiave magnetica sia vicino all’auto rende un simile attacco molto più difficile.

Se sei vittima di un simile attacco, i ricercatori consigliano di andare direttamente in concessionaria e chiedere il ripristino del telecomando. E per prevenzione, metti le chiavi della tua auto in una gabbia di Faraday.

Fonte

https://github.com/nonamecoder/CVE-2022-27254

Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione

La redazione di Red Hot Cyber è composta da professionisti del settore IT e della sicurezza informatica, affiancati da una rete di fonti qualificate che operano anche in forma riservata. Il team lavora quotidianamente nell’analisi, verifica e pubblicazione di notizie, approfondimenti e segnalazioni su cybersecurity, tecnologia e minacce digitali, con particolare attenzione all’accuratezza delle informazioni e alla tutela delle fonti. Le informazioni pubblicate derivano da attività di ricerca diretta, esperienza sul campo e contributi provenienti da contesti operativi nazionali e internazionali.