Uma história amplamente relatada de que 3 milhões de escovas de dentes elétricas foram hackeadas com malware para conduzir ataques de negação de serviço distribuídos (DDoS) é provavelmente um cenário hipotético em vez de um ataque real.
Na semana passada, o site de notícias suíço Aargauer Zeitung publicou uma história afirmando que um funcionário da empresa de segurança cibernética Fortinet disse que 3 milhões de escovas de dentes elétricas haviam sido infectadas com malware Java para conduzir ataques DDoS contra uma empresa suíça.
"A escova de dentes elétrica é programada com Java e criminosos instalaram malware nela, sem serem notados - assim como em 3 milhões de outras escovas de dentes", diz o artigo.
"Um comando é suficiente e as escovas de dentes controladas remotamente acessam simultaneamente o site de uma empresa suíça.
O site entra em colapso e fica paralisado por quatro horas.
Causa milhões de dólares em danos."
A história é dramática e definitivamente notícia, se verdadeira, e começou a se espalhar por outros sites de notícias de tecnologia ontem, com inúmeras publicações cobrindo o suposto ataque sem verificar a história.
No entanto, existe um problema com a história - não há registro de que esse ataque já ocorreu.
A Fortinet, que foi atribuída como a fonte do artigo, não publicou nenhuma informação sobre esse ataque e não respondeu a repetidos pedidos de comentários do BleepingComputer desde que a história do "botnet de escovas de dentes" viralizou ontem.
Um ataque DDoS ocorre quando um invasor envia solicitações ou dados suficientes para um site, para sobrecarregar seus recursos ou largura de banda, para que ele não consiga mais aceitar solicitações de visitantes legítimos, tornando o site inutilizável de fato.
Este tipo de ataque tem sido cada vez mais usado por hacktivistas para protestar contra as atividades de um país ou de uma empresa ou por agentes de ameaças que os usam para extorquir negócios.
Para realizar esses ataques, roteadores, servidores e dispositivos IoT são hackeados por força bruta ou usando senhas padrão, ou explorando vulnerabilidades.
Uma vez que um dispositivo é comprometido, o malware é instalado para alistá-lo como parte de seu botnet DDoS e usá-lo em ataques.
Esses dispositivos são então usados coletivamente para lançar ataques poderosos contra um alvo especificado.
De acordo com a Statista, espera-se que aproximadamente 17 bilhões de dispositivos IoT conectados à internet estejam conectados à internet até o final de 2024, oferecendo uma enorme quantidade de dispositivos que poderiam potencialmente ser recrutados para botnets DDoS.
No entanto, é improvável que 3 milhões de escovas de dentes elétricas estariam expostas na internet para que pudessem ser infectadas com malware.
Em vez disso, provavelmente foi um cenário hipotético compartilhado pela Fortinet com o jornal que foi mal interpretado ou tirado de contexto para criar uma história que é amplamente contestada por especialistas em segurança.
Além disso, as escovas de dentes elétricas não se conectam diretamente à internet, mas usam o Bluetooth para se conectar a aplicativos móveis que depois fazem o upload de seus dados para plataformas baseadas na web.
Isso significa que um hack massivo como esse só poderia ter sido realizado por meio de um ataque à cadeia de suprimentos que enviou firmware malicioso para os dispositivos.
No entanto, não há registro disso acontecendo.
Se aconteceu, seria uma história muito maior do que um ataque DDoS.
Embora uma história de um botnet DDoS de escovas de dentes derrubando um site seja divertida (e quase definitivamente falsa), ainda é um bom lembrete de que os agentes de ameaças visariam qualquer dispositivo exposto à Internet.
Isso inclui roteadores, servidores, controladores lógicos programáveis (PLCs), impressoras e câmeras web.
Portanto, é essencial que qualquer dispositivo exposto à internet tenha as últimas atualizações de segurança e senhas fortes para prevenir que sejam recrutados para botnets DDoS.
A boa notícia é que provavelmente não será sua escova de dentes, então continue escovando.
Atualização 2/7/24 17:45 ET: Como esperado, a Fortinet informou ao BleepingComputer que este era um cenário hipotético e não um ataque real.
"Para esclarecer, o tópico das escovas de dentes sendo usadas para ataques DDoS foi apresentado durante uma entrevista como uma ilustração de um determinado tipo de ataque, e não se baseia em pesquisas da Fortinet ou da FortiGuard Labs.
Aparentemente, devido às traduções, a narrativa sobre este tópico foi esticada a ponto dos cenários hipotéticos e reais se confundirem." - Fortinet.
A FortiGuard Labs também disse ao BleepingComputer que não observaram nenhum botnet IoT visando escovas de dentes ou dispositivos incorporados semelhantes.
Publicidade
A primeira certificação prática brasileira de wireless hacking veio para mudar o ensino na técnica no país, apresentando labs práticos e uma certificação hands-on.
Todas as técnicas de pentest wi-fi reunidos em um curso didático e definitivo.
Saiba mais...