-CVE-2017-0785-BlueBorne-PoC

CVE-2017-0785 BlueBorne PoC Visão Geral

A Armis Labs revelou um novo vetor de ataque que coloca em risco os principais sistemas operacionais móveis, desktop e IoT, incluindo Android, iOS, Windows e Linux, e os dispositivos que os utilizam. O novo vetor é chamado de "BlueBorne", pois se espalha pelo ar (airborne) e ataca dispositivos via Bluetooth. A Armis também divulgou oito vulnerabilidades de dia zero relacionadas, quatro das quais são classificadas como críticas. O BlueBorne permite que invasores assumam o controle de dispositivos, acessem dados corporativos e redes, penetrem em redes seguras "air-gapped" e propaguem malware lateralmente para dispositivos adjacentes. A Armis reportou essas vulnerabilidades aos responsáveis e está trabalhando com eles à medida que patches estão sendo identificados e lançados.

Visão Geral do BlueBorne

O que é o BlueBorne? BlueBorne é um vetor de ataque pelo qual hackers podem aproveitar conexões Bluetooth para penetrar e assumir o controle total de dispositivos alvo. O BlueBorne afeta computadores comuns, telefones celulares e o crescente universo de dispositivos IoT. O ataque não exige que o dispositivo alvo esteja pareado ao dispositivo do invasor, nem mesmo que esteja configurado no modo detectável. A Armis Labs identificou até agora oito vulnerabilidades de dia zero, que indicam a existência e o potencial do vetor de ataque. A Armis acredita que muitas outras vulnerabilidades aguardam descoberta nas várias plataformas que usam Bluetooth. Essas vulnerabilidades são totalmente operacionais e podem ser exploradas com sucesso, conforme demonstrado em nossa pesquisa. O vetor de ataque BlueBorne pode ser usado para realizar uma ampla gama de crimes, incluindo execução remota de código, bem como ataques Man-in-The-Middle.

Informações Adicionais: Baixe nosso White Paper Técnico sobre BlueBorne Qual é o Risco?

O vetor de ataque BlueBorne possui várias qualidades que podem ter um efeito devastador quando combinadas. Ao se espalhar pelo ar, o BlueBorne ataca o ponto mais fraco da defesa das redes – e o único que nenhuma medida de segurança protege. Espalhar-se de dispositivo para dispositivo pelo ar também torna o BlueBorne altamente infeccioso. Além disso, como o processo Bluetooth possui privilégios elevados em todos os sistemas operacionais, explorá-lo proporciona virtualmente controle total sobre o dispositivo.

Infelizmente, esse conjunto de capacidades é extremamente desejável para um hacker. O BlueBorne pode servir a qualquer objetivo malicioso, como espionagem cibernética, roubo de dados, ransomware e até mesmo a criação de grandes botnets a partir de dispositivos IoT, como o Botnet Mirai, ou dispositivos móveis, como no recente Botnet WireX. O vetor de ataque BlueBorne supera as capacidades da maioria dos vetores de ataque ao penetrar redes seguras "air-gapped", que estão desconectadas de qualquer outra rede, incluindo a internet. Qual é a Abrangência da Ameaça? A ameaça representada pelo vetor de ataque BlueBorne

O vetor de ataque BlueBorne pode potencialmente afetar todos os dispositivos com capacidade Bluetooth, estimados em mais de 8,2 bilhões de dispositivos hoje. O Bluetooth é o principal e mais difundido protocolo para comunicações de curto alcance, sendo usado por dispositivos de todos os tipos, desde computadores comuns e dispositivos móveis até dispositivos IoT, como TVs, relógios, carros e até aparelhos médicos. Os relatórios mais recentes publicados mostram mais de 2 bilhões de dispositivos Android, 2 bilhões de Windows e 1 bilhão de Apple em uso. A Gartner relata que existem 8 bilhões de dispositivos conectados ou IoT no mundo hoje, muitos dos quais possuem Bluetooth. O que Há de Novo no BlueBorne? Um novo vetor de ataque aéreo

O BlueBorne nos preocupa devido ao meio pelo qual opera. Ao contrário da maioria dos ataques atuais, que dependem da internet, um ataque BlueBorne se espalha pelo ar. Isso funciona de forma semelhante às duas vulnerabilidades menos abrangentes descobertas recentemente em um chip Wi-Fi Broadcom pelo Project Zero e Exodus. As vulnerabilidades encontradas em chips Wi-Fi afetam apenas os periféricos do dispositivo e exigem outra etapa para assumir o controle do dispositivo. Com o BlueBorne, os invasores podem obter controle total desde o início. Além disso, o Bluetooth oferece uma superfície de ataque mais ampla que o Wi-Fi, quase inteiramente inexplorada pela comunidade de pesquisa e, portanto, contém muito mais vulnerabilidades.

Ataques aéreos, infelizmente, oferecem uma série de oportunidades para o invasor. Primeiro, espalhar-se pelo ar torna o ataque muito mais contagioso e permite que ele se espalhe com o mínimo esforço. Segundo, permite que o ataque contorne as medidas de segurança atuais e permaneça indetectado, já que os métodos tradicionais não protegem contra ameaças aéreas. Ataques aéreos também podem permitir que hackers penetrem em redes internas seguras que são "air gapped", ou seja, desconectadas de qualquer outra rede para proteção. Isso pode colocar em risco sistemas industriais, agências governamentais e infraestrutura crítica.

Finalmente, ao contrário de malware ou ataques tradicionais, o usuário não precisa clicar em um link ou baixar um arquivo suspeito. Nenhuma ação do usuário é necessária para viabilizar o ataque. Uma ameaça abrangente e severa

O vetor de ataque BlueBorne não requer interação do usuário, é compatível com todas as versões de software e não exige pré-condições ou configurações além do Bluetooth estar ativo. Ao contrário do equívoco comum, os dispositivos com Bluetooth habilitado estão constantemente procurando conexões recebidas de qualquer dispositivo, e não apenas daqueles com os quais foram pareados. Isso significa que uma conexão Bluetooth pode ser estabelecida sem parear os dispositivos. Isso torna o BlueBorne um dos ataques potenciais mais amplos encontrados nos últimos anos e permite que um invasor ataque completamente sem ser detectado. Vulnerabilidades Bluetooth de próxima geração

No passado, a maioria das vulnerabilidades e falhas de segurança do Bluetooth originava-se de problemas com o próprio protocolo, que foram resolvidos na versão 2.1 em 2007. Quase todas as vulnerabilidades encontradas desde então eram de baixa gravidade e não permitiam execução remota de código. Essa transição ocorreu quando a comunidade de pesquisa voltou seus olhos para outro lugar e não examinou as implementações do protocolo Bluetooth nas diferentes plataformas, como fez com outros protocolos principais.

O Bluetooth é um protocolo difícil de implementar, o que o torna propenso a dois tipos de vulnerabilidades. Por um lado, os fornecedores tendem a seguir as diretrizes de implementação do protocolo ao pé da letra, o que significa que, quando uma vulnerabilidade é encontrada em uma plataforma, ela pode afetar outras. Essas vulnerabilidades espelhadas ocorreram com CVE-2017-8628 e CVE-2017-0783 (Windows e Android MiTM), que são "gêmeas idênticas". Por outro lado, em algumas áreas, as especificações Bluetooth deixam muito espaço para interpretação, causando métodos fragmentados de implementação nas várias plataformas, tornando cada uma delas mais propensa a conter sua própria vulnerabilidade.

É por isso que as vulnerabilidades que compõem o BlueBorne são baseadas nas várias implementações do protocolo Bluetooth e são mais prevalentes e severas do que as dos últimos anos. Estamos preocupados que as vulnerabilidades que encontramos são apenas a ponta do iceberg e que as implementações distintas do protocolo em outras plataformas podem conter vulnerabilidades adicionais. Uma Divulgação Coordenada

A Armis entrou em contato com os seguintes atores para garantir uma resposta segura e coordenada às vulnerabilidades identificadas.