Eslováquia encontra backdoor por SMS em radares: hardware russo por trás de uma placa da UE
Quando a Autoridade Nacional de Segurança da Eslováquia, conhecida como NBÚ, decidiu desmontar fisicamente uma das novas câmaras de radar do país, esperava inspecionar um dispositivo europeu de trânsito. Em vez disso, os analistas encontraram hardware fabricado pela Simicon de São Petersburgo, vendido sob outro nome e equipado com um mecanismo oculto que podia dar acesso shell e de rede a qualquer pessoa que enviasse um SMS de um de doze números russos específicos. A descoberta congelou um lançamento de 279 câmaras financiado pela UE no valor de 30 milhões de euros e desencadeou um alerta de segurança que abrange três linhas de produto distintas por toda a Europa.
Uma câmara rebatizada com rádios não documentados
O dispositivo em questão foi instalado como parte do lançamento NERO R-ONE da Eslováquia, comercializado pela SODASUS, um fornecedor registado no Chipre. Quando os técnicos do NBÚ o abriram, o interior contava outra história: era um Simicon CORDON PRO.M, uma linha de produto construída em São Petersburgo, na Rússia. Segundo a reportagem do Niebezpiecznik, a unidade continha dois modems celulares 3G/4G, mas só um deles estava documentado nas especificações do produto ou na interface de gestão. O segundo modem era invisível para os administradores, dando a quem o controlasse um canal fora de banda silencioso direto ao dispositivo. Esse tipo de conectividade não documentada é precisamente o que os auditores de cadeia de abastecimento procuram - e precisamente o que raramente é verificado quando a papelada de compra mostra um fornecedor europeu na fatura. O vão físico entre a empresa que vende um dispositivo e a fábrica que o constrói é onde a confiança erode em silêncio. A backdoor: doze números e um código de oito dígitos
A descoberta mais alarmante estava enterrada na lógica do firmware e não no hardware. A câmara mantinha uma lista oculta de números de telefone de administrador que nunca aparecia no painel de gestão: nove números móveis registados em São Petersburgo, duas linhas fixas da mesma cidade e um número móvel de Kemerovo, na Sibéria. Um SMS que chegasse de qualquer número dessa lista, seguido de um código de autenticação de oito dígitos, abria acesso remoto ao shell do dispositivo e à sua rede envolvente. Como o gatilho chega pela rede celular através do modem não documentado, ele evade firewalls, VPNs e qualquer outro controlo de perímetro que um operador tivesse configurado. Como nota o Security Affairs, o mecanismo podia plausivelmente permanecer dormente durante anos enquanto aceitava comandos em silêncio, o que torna a deteção forense extremamente difícil a posteriori. Ninguém precisa de explorar um bug de corrupção de memória ou adivinhar uma palavra-passe; só precisa de saber o número certo para onde enviar uma mensagem. Lançamento em pausa e Secure Boot desligado
A resposta do NBÚ foi rápida. O lançamento das 279 câmaras do projeto financiado pela UE está suspenso à espera de inspeção, e as unidades afetadas foram desativadas. A agência também divulgou dois achados adicionais que agravam a preocupação: o Secure Boot estava desativado nos dispositivos, a cadeia de arranque não podia portanto verificar criptograficamente que o firmware carregado no arranque não tinha sido adulterado, e os fluxos de vídeo em direto das câmaras estavam expostos sem proteção adequada. Uma câmara que vigia estradas públicas é ela própria um ativo de inteligência; fluxos não autenticados significam que terceiros podiam potencialmente ver imagens destinadas à fiscalização de trânsito. Como reporta o Tom's Hardware, o NBÚ emitiu um alerta que cobre não só o lançamento eslovaco mas três linhas de produto relacionadas: o SODASUS NERO R-ONE distribuído a partir do Chipre, a própria série Cordon da Simicon e as NEROline da Croácia construídas na mesma plataforma Cordon. Qualquer operador com equipamento destas famílias ficou efetivamente avisado para assumir comprometimento até prova em contrário. A lição de cadeia de abastecimento escondida à vista de todos
Este incidente é um caso de manual de porque a proveniência do hardware pesa tanto como as atualizações de software. As câmaras foram compradas por canais legítimos, faturadas por uma entidade europeia e lançadas com fundos públicos. Em nenhum momento a papelada revelou que o produto central vinha de um fabricante do país cujos serviços de inteligência os governos europeus defendem ativamente. Rebatizar anula qualquer triagem de compras que dependa só de nomes de marca. Para operadores de qualquer infraestrutura ligada, as lições práticas são concretas. Exija divulgação completa de componentes e interfaces de rádio documentadas antes da compra. Verifique que as funcionalidades de integridade de arranque como o Secure Boot estão realmente ativadas, não apenas disponíveis. Trate qualquer modem, porta série ou interface sem fios não documentado como desqualificante até explicado. E audite os painéis de gestão contra a realidade: se o dispositivo aceita comandos que a sua própria interface não mostra, não controla totalmente o seu próprio hardware. Porque é que isto importa para além do trânsito
Uma câmara de radar soa trivial ao lado de redes elétricas ou comutadores de telecom, mas a arquitetura é idêntica: Linux embarcado, conectividade celular, ligações de internet permanentes e colocação em locais públicos fisicamente acessíveis. Uma frota comprometida de dispositivos de beira de estrada oferece posições de entrada para redes municipais, uma plataforma para vigiar veículos que passam, ou simplesmente a demonstração de que a infraestrutura crítica é alcançável ao sabor do atacante. A questão de 30 milhões de euros que a Eslováquia enfrenta agora é se outras unidades da frota contêm as mesmas escutas ocultas, e se a resposta chegará antes de as câmaras voltarem a emitir uma multa. Hardware que não podes auditar é hardware que outra pessoa pode já controlar. Esta história reforça um princípio a que voltamos sempre: a segurança começa por saber exatamente o que corre nas máquinas de que dependes, um tema que explorámos no nosso guia de segurança de dispositivos antes do Tor.
