-
-
folge blueBit auf Facebook -
folge blueBit auf Twitter@blueBit_News folgen -
folge blueBit auf Google Plus
-
von Robert Klatt •
Durch zahlreiche Sicherheitslücken im Update-Vorgang kann manipulierte Firmware installiert werden mit der sich im Ernstfall Patienten töten lassen.
Während des aktuell in Las Vegas stattfindenden Sicherheitskonferenz Black Hat haben die Hackern Billy Rios und Jonathan Butts Sicherheitslücken gezeigt, die die Manipulation von Herzschrittmachern und Insulinpumpen des amerikanischen Medizintechnikunternehmens Medtronic ermöglichen. In Exteamfall könnte ein Hacker so die Nutzer der Geräte durch Veränderungen der Firmware töten. Da der Hersteller rund 18 Monaten nachdem ihm die Hacker die Sicherheitslücken gemeldet haben noch nicht reagiert hat, hat das Team sich nun entschieden öffentlich zu machen wie der Hack erfolgt.
Die entdeckte Sicherheitslücke erlaubt es veränderte Firmware auf bereits implantierte Herzschrittmacher zu installieren. Bösartige Hacker könnten so die Funktion des Herzschrittmachers verändern. Sie können so entweder die Herzfrequenz erhöhen oder senken oder sogar die elektrischen Impulse komplett ausschalten. Bei Patienten die auf ihren Herzschrittmacher angewiesen sind, würde dies unmittelbar zum Ableben führen.
Laut Medtronic hat diese mögliche Manipulation keinen Einfluss auf das Wohl ihrer Kunden. Das Unternehmen möchte daher kein Sicherheitsupdate bereitstellen, um die zahlreichen Lücken zu beheben.
Während der Konferenz haben die Hacker live demonstriert welche Sicherheitslücken vorliegen und wie diese genutzt werden können, um Patienten zu töten.
Die Sicherheitslücken befinden sich im Update-Prozess der Herzschrittmacher, der über das Programmiergeräte Medtronic CareLink 2090 erfolgt. Dabei wird per Funk eine VPN-Verbindung zwischen dem Implantat und dem Software Distribution Network (SDN) des Herstellers aufgebaut. Da das dafür genutzte Passwort und der Nutzername im Klartext im Programm hinterlegt sind, kann dies leicht von unbefugten Personen ausgelesen werden. Außerdem ist die Verbindung zwischen dem SDN und dem Programmiergerät nicht verschlüsselt Da ebenfalls die digitale Signatur nicht abgefragt wird, bemerkt der Server von Medtronic nicht, ob das firmeneigene Programmiergeräte Medtronic CareLink 2090 anfragt oder ob die Anfrage von einem Laptop erfolgt.
Während der Präsentation hat Rios die zahlreichen Sicherheitslücken genutzt, um vom Programmiergerät statt zum Server des Herstellers zu seinem Laptop eine Verbindung aufzubauen. Anschließend hat das Programmiergerät eine manipulierte Firmware heruntergeladen, die auf dem Programmiergerät die Nachricht "Do you want to die?" anzeigte.
Wäre das Programmiergerät grade mit einem Patienten verbunden gewesen, so hätte Rios die manipulierte Firmware auf seinem Herzschrittmacher installieren können, um diese Patienten zu töten.
Auch in einigen Insulinpumpen desselben Unternehmens fanden die Hacker Sicherheitslücken. Mit der Software Definied Radios HackRF One haben die Hacker es geschafft Insulinpumpen in der Nähe zu manipulieren. Sie konnten so kontrollieren welche Menge an Insulin abgeben wird oder die Abgabe komplett einstellen. Die Pumpen sind lediglich über die Abfrage einer Seriennummer gesichert, die jedoch nur fünf Stellen lang ist und so schnell per BruteForce-Angriff geknackt werden kann.