La Slovacchia trova una backdoor SMS negli autovelox: hardware russo dietro a un marchio UE
Quando l’Autorità nazionale per la sicurezza della Slovacchia, nota come NBÚ, ha deciso di smontare fisicamente una delle nuove telecamere di rilevamento della velocità del paese, si aspettava di ispezionare un dispositivo europeo per il traffico. Al contrario, gli analisti hanno trovato hardware fabbricato da Simicon di San Pietroburgo, venduto con un altro nome e dotato di un meccanismo nascosto che poteva dare accesso shell e di rete a chiunque inviasse un SMS da uno dei dodici specifici numeri russi. Il ritrovamento ha congelato un’implementazione da 30 milioni di euro finanziata dall’UE di 279 telecamere e ha innescato un allerta di sicurezza che copre tre linee di prodotto distinte in tutta Europa.
Una telecamera ribattezzata con radio non documentate
Il dispositivo in questione era installato nell’ambito del dispiegamento NERO R-ONE della Slovacchia, commercializzato da SODASUS, un fornitore registrato a Cipro. Quando i tecnici dell’NBÚ l’hanno aperto, l’interno raccontava un’altra storia: era un Simicon CORDON PRO.M, una linea di prodotto costruita a San Pietroburgo, in Russia. Secondo il reportage di Niebezpiecznik, l’unità conteneva due modem cellulari 3G/4G, ma solo uno era documentato da qualche parte nelle specifiche di prodotto o nell’interfaccia di gestione. Il secondo modem era invisibile agli amministratori, dando a chi lo controllava un canale fuori banda silenzioso dritto nel dispositivo. Quel tipo di connettività non documentata è esattamente ciò che cercano gli auditor delle catene di fornitura - ed è esattamente ciò che raramente viene controllato quando la documentazione d’acquisto mostra un fornitore europeo in fattura. Il divario fisico tra l’azienda che vende un dispositivo e la fabbrica che lo costruisce è dove la fiducia erode in silenzio. La backdoor: dodici numeri e un codice a otto cifre
Il ritrovamento più allarmante era sepolto nella logica del firmware più che nell’hardware. La telecamera manteneva una lista nascosta di numeri di telefono amministratore che non compariva mai nel pannello di gestione: nove numeri mobili registrati a San Pietroburgo, due fissi della stessa città e un numero mobile da Kemerovo, in Siberia. Un SMS in arrivo da qualsiasi numero di quella lista, seguito da un codice di autenticazione a otto cifre, apriva l’accesso remoto alla shell del dispositivo e alla rete circostante. Poiché il trigger arriva tramite la rete cellulare attraverso il modem non documentato, aggira firewall, VPN e ogni altro controllo di perimetro che un operatore possa aver configurato. Come nota Security Affairs, il meccanismo poteva plausibilmente restare dormiente per anni mentre accettava comandi in silenzio, il che rende l’individuazione forense estremamente difficile a posteriori. Nessuno deve sfruttare un bug di corruzione di memoria o indovinare una password; basta conoscere il numero giusto a cui scrivere un messaggio. Dispiegamento in pausa e Secure Boot spento
La risposta dell’NBÚ è stata rapida. Il dispiegamento di tutte le 279 telecamere del progetto finanziato dall’UE è in pausa in attesa di ispezione, e le unità incriminate sono state disattivate. L’agenzia ha anche reso noti due ulteriori riscontri che aggravano la preoccupazione: il Secure Boot era disattivato sui dispositivi, la loro catena di avvio non poteva quindi verificare crittograficamente che il firmware caricato all’avvio non fosse stato manomesso, e i flussi video in diretta delle telecamere erano esposti senza protezione adeguata. Una telecamera che osserva strade pubbliche è essa stessa un asset di intelligence; flussi non autenticati significano che terzi potevano potenzialmente vedere riprese destinate alla vigilanza del traffico. Come riporta Tom’s Hardware, l’NBÚ ha emesso un allerta che copre non solo il dispiegamento slovacco ma tre linee di prodotto correlate: il SODASUS NERO R-ONE distribuito da Cipro, la serie Cordon di Simicon stessa, e le NEROline della Croazia costruite sulla stessa piattaforma Cordon. Qualsiasi operatore con apparecchiature di queste famiglie è stato di fatto avvertito di presupporre la compromissione fino a prova contraria. La lezione sulla supply chain nascosta in piena vista
Questo incidente è un caso da manuale di perché la provenienza dell’hardware pesa quanto gli aggiornamenti software. Le telecamere sono state acquistate attraverso canali legittimi, fatturate da un’entità europea e dispiegate con fondi pubblici. In nessun momento la documentazione ha rivelato che il prodotto centrale proveniva da un produttore del paese i cui servizi di intelligence i governi europei contrastano attivamente. Il rebranding sconfigge qualsiasi screening degli acquisti che si basi solo sui nomi di marca. Per gli operatori di qualsiasi infrastruttura connessa, gli insegnamenti pratici sono concreti. Esigete divulgazione completa dei componenti e interfacce radio documentate prima dell’acquisto. Verificate che le funzionalità di integrità di avvio come il Secure Boot siano effettivamente attive, non solo disponibili. Trattate qualsiasi modem, porta seriale o interfaccia wireless non documentata come squalificante finché non spiegata. E auditate i pannelli di gestione contro la realtà: se il dispositivo accetta comandi che la sua stessa interfaccia non mostra, non controllate appieno il vostro hardware. Perché conta oltre la vigilanza del traffico
Una telecamera di rilevamento suona banale accanto a reti elettriche o commutatori di telecom, ma l’architettura è identica: Linux embedded, connettività cellulare, collegamenti internet permanenti e posizionamento in luoghi pubblici fisicamente accessibili. Una flotta compromessa di dispositivi al bordo della strada offre posizioni di ingresso nelle reti municipali, una piattaforma per sorvegliare i veicoli di passaggio, o semplicemente la dimostrazione che l’infrastruttura critica è raggiungibile a piacere. La domanda da 30 milioni di euro che la Slovacchia affronta ora è se altre unità della flotta contengono le stesse spie nascoste, e se la risposta arriverà prima che le telecamere emettano un’altra multa. L’hardware che non puoi auditare è hardware che qualcun altro forse controlla già. Questa storia rafforza un principio a cui torniamo sempre: la sicurezza inizia dal sapere esattamente cosa gira sulle macchine da cui dipendi, un tema che abbiamo esplorato nella nostra guida sulla sicurezza dei dispositivi prima di Tor.
