1. Архитектура Интернета вещей (Internet of things, IoT) и требования к ним

Обновление прошивки

Стремясь сделать применение IoT как можно более прозрачным, разработчики автоматизируют установку обновлений прошивки устройства.
С одной стороны, это позволяет своевременно устранять выявленные недоработки и уязвимости. С другой — простота процедуры делает возможным подмену оригинального файла прошивки вредоносным.
После установки такого обновления устройство может выйти из строя или перейти под чужой контроль.
Вредонос BrickerBot, эпидемия которого была зафиксирована в 2017 году, взламывал устройства IoT с помощью атаки по словарю и запускал несколько Linux-команд, после выполнения которых умное устройство превращалось в бесполезный кирпич.

Типы кибератак

Компрометируя устройства IoT и IIoT, киберпреступники преследуют вполне конкретные цели, связанные с коммерческим использованием захваченных ресурсов.
Наиболее популярные варианты — создание ботнетов для анонимной рассылки спама, организации DDoS-атак и распространения вредоносного ПО, промышленного шпионажа.

Подмена DNS

В 2016 году было выявлено массовое использование роутеров для DNS Hijacking — атаки с подменой DNS.
Фото: Unsplash
Программы DNSChanger и Switcher заменяли адреса DNS-серверов в настройках роутеров адресами злоумышленников, чтобы показывать на подключенных к роутерам устройствах рекламу и раздавать вредоносное ПО.
Лечение клиентского компьютера в таких случаях не помогает, потому что источник проблем находится в роутере.

Спам-атаки

Большая часть IoT-устройств работает под управлением ОС Linux, богатая функциональность которой позволяет установить дополнительные компоненты.
Установка прокси-сервера SOCKS позволяет использовать устройство в качества анонимайзера, чтобы, оставаясь в тени, устраивать массовые рассылки спама и взламывать корпоративные сети.

DDoS-атаки

Самый распространенный способ использования взломанных IoT-устройств — организация ботнетов для проведения распределенных атак на отказ в обслуживании (DDoS). Эту задачу облегчают несколько факторов.

1. 
   Все устройства IoT/IIoT подключены к интернет-каналу, часто с достаточно высокой пропускной способностью.
   
2. 
   Протокол CoAP, который используется для взаимодействия с различными «умными» устройствами, идеален для организации дидоса: он использует протокол UDP без установки соединения и предполагает отправку пакета данных в ответ на запрос.
   

По данным исследования Trend Micro, используя предусмотренную протоколом CoAP возможность поблочной передачи, можно сформировать такой запрос, что ответ устройства будет больше запроса в 32 раза, обеспечивая фактор амплификации 32х. Таким образом, для организации атаки мощностью в 32 Мбит/с атакующему достаточно иметь канал с пропускной способностью 1 Мбит/с.
Эта особенность протокола CoAP ставит его в один ряд с протоколами DNS и SSDP, факторы амплификации которых составляют от 28x до 98x и от 30x до 64x соответственно. Их тоже часто используют для DDoS-атак. Согласно данным Trend Micro, Россия находится на третьем месте в мире по числу уязвимых серверов CoAP.