{"id":5265,"date":"2015-05-14T15:03:00","date_gmt":"2015-05-14T15:03:00","guid":{"rendered":"http:\/\/kasperskydaily.com\/brazil\/?p=5265"},"modified":"2019-11-22T07:46:55","modified_gmt":"2019-11-22T10:46:55","slug":"vulnerabilidades-criticas-de-seguranca-nas-bombas-de-injecao-de-medicamentos","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/vulnerabilidades-criticas-de-seguranca-nas-bombas-de-injecao-de-medicamentos\/5265\/","title":{"rendered":"Vulnerabilidades cr\u00edticas de seguran\u00e7a nas bombas de inje\u00e7\u00e3o de medicamentos"},"content":{"rendered":"<p>Em mais um exempo de inseguran\u00e7a de dispositivos m\u00e9dicos inteligentes, esse surgiu recentemente atrav\u00e9s de uma linha de bombas de medicamentos de Hospira que est\u00e1 exposta a uma s\u00e9rie de vulnerabilidades que podem ser exploradas a dist\u00e2ncia e que podem permitir que um invasor assuma o controle total das bombas afetadas ou simplesmente torne-as in\u00fateis.<\/p>\n<p>Estas bombas de infus\u00e3o s\u00e3o parte de uma nova s\u00e9rie de dispositivos m\u00e9dicos inteligentes e conectados. Como j\u00e1 escrevi aqui antes, particulamente sobre bombas de insulina de alta tecnologia, os dispositivos m\u00e9dicos inteligentes evitam fator\u00a0risco de erro humano para as pessoas que necessitam\u00a0a administra\u00e7\u00e3o cr\u00f4nica de medicamentos. Infelizmente, muitas das empresas que desenvolvem esses dispositivos t\u00eam ignorado repetidamente as medidas de\u00a0seguran\u00e7a.<\/p>\n<div class=\"pullquote\">Al\u00e9m de serem suscet\u00edveis ao ataque, elas s\u00e3o t\u00e3o mal programadas que podem ser hackeadas com um \u00fanico erro de digita\u00e7\u00e3o<\/div>\n<p>As bombas de infus\u00e3o de medicamentos da Hospira s\u00e3o t\u00e3o vulner\u00e1veis, que o pesquisador de seguran\u00e7a Jeremy Richards disse que elas s\u00e3o os dispositivos habilitados mais inseguros\u00a0que ele j\u00e1 havia trabalhado. Richards disse tamb\u00e9m que um invasor a dist\u00e2ncia pode inutiliza os\u00a0dispositivos, um processo conhecido popularmente como entijolar.<\/p>\n<p>\u201cN\u00e3o s\u00e3o apenas suscet\u00edveis ao ataque\u201d, escreveu Richards, \u201celas s\u00e3o t\u00e3o mal programadas que poderiam ser inutilizadas com um \u00fanico erro de digita\u00e7\u00e3o\u201d.<\/p>\n<p>Ele afirma que potenciais hackers tamb\u00e9m\u00a0poderiam atualizar o software do dispositivo, executar comandos e manipular as bibliotecas espec\u00edficas de medicamentos que correspondem aos\u00a0c\u00f3digos de barras impressos em frascos contendo a dosifica\u00e7\u00e3o e outras informa\u00e7\u00f5es.<\/p>\n<p>\u00a0<\/p>\n<p>Curiosamente, n\u00e3o um, mas dois pesquisadores descobriram por conta pr\u00f3pria os bugs nas inje\u00e7\u00f5es de medicamentos. Primeiro foi Billy Rios, conhecido por ter hackeado os sistemas de seguran\u00e7a de um aeroporto, os t\u00faneis de uma lavagem de carros e os sistemas de dom\u00f3tica.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">A security flaw in a widely used IV pump lets hackers raise drug-dosage limits <a href=\"http:\/\/t.co\/8FuMz23ngG\" target=\"_blank\" rel=\"noopener nofollow\">http:\/\/t.co\/8FuMz23ngG<\/a><\/p>\n<p>\u2014 WIRED (@WIRED) <a href=\"https:\/\/twitter.com\/WIRED\/status\/586337339867320320?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 10, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Embora a pesquisa de Rios, divulgado pelo ICS-CERT h\u00e1 mais de um ano, permane\u00e7a in\u00e9dita, Richards foi quem primeiro a publicou\u00a0na semana passada. Rios deu sua b\u00ean\u00e7\u00e3o a Richards atrav\u00e9s do Twitter para publicar suas descobertas.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/dyngnosis?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@dyngnosis<\/a> submitted to ICS-CERT a year ago, but feel free to publish!<\/p>\n<p>\u2014 Billy Rios (@XSSniper) <a href=\"https:\/\/twitter.com\/XSSniper\/status\/593245276766273536?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 29, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>O mais preocupante\u00a0\u00e9 que estes dispositivos da rede Hospira armazenam chaves de acesso a redes Wi-Fi protegidas (WPA) em texto simples. Se um invasor conseguir roubar uma destas chaves WPA, todos os outros dispositivos conectados \u00e0 mesma\u00a0rede poderiam ficar expostos a espionagem e\u00a0outros ataques. Essas chaves tamb\u00e9m poderiam ser roubadas dos dispositivos que est\u00e3o fora de servi\u00e7o, se o hospital n\u00e3o eliminar as chaves de rede antes de aposentar ou vender estes dispositivos. Mais simples ainda, estes dispositivos cont\u00eam uma porta ethernet exposta que poderia permitir ataques locais simples e r\u00e1pidos utilizando ferramentas de hacking automatizadas.<\/p>\n<p>N\u00e3o est\u00e1 claro se Hospira tem a inten\u00e7\u00e3o de reparar as vulnerabilidades. Richards afirma que eles est\u00e3o pensando em faz\u00ea-lo, mas as pr\u00f3prias declara\u00e7\u00f5es da empresa parecem contradizer essa afirma\u00e7\u00e3o.<\/p>\n<p>Certas\u00a0bombas de #infus\u00e3o de medicamentos da #Hospira cont\u00e9m vulnerabilidades de #seguran\u00e7a perigosas e facilmente explor\u00e1veis \u200b\u200b<\/p>\n<p>Em resposta a um e-mail ao nosso colega do Threatpost, Chris Brook, Hospira disse: \u201cN\u00e3o existem casos em que os dispositivos Hospira tenham sido violados em um ambiente cl\u00ednico e Hospira tem tomado uma abordagem proativa para identificar as poss\u00edveis vulnerabilidades de seguran\u00e7a cibern\u00e9tica\u201d. A empresa alega que j\u00e1 comunicou aos usu\u00e1rios atuais a maneira de enfrentar estas vulnerabilidades. No entanto, a empresa n\u00e3o disse se as vulnerabilidades foram solucionadas, s\u00f3 que planeja mitigar estas preocupa\u00e7\u00f5es em seus produtos futuros.<\/p>\n<p>\u201c\u00c9 importante notar tamb\u00e9m que explorar vulnerabilidades requer penetrar em v\u00e1rias camadas de seguran\u00e7a da rede executada pelo sistema de informa\u00e7\u00e3o hospitalar, incluindo firewalls de seguran\u00e7a\u201d, disse a empresa em um comunicado. \u201cEstas medidas de seguran\u00e7a de rede servem como a primeira e a mais forte linha de defesa contra a adultera\u00e7\u00e3o, enquanto as bombas de infus\u00e3o e o software fornecem uma camada adicional de seguran\u00e7a.\u201d<\/p>\n<p>Enquanto isso, n\u00f3s vamos deixar voc\u00ea com isso:<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Don't buy a Hospira PCA drug  pump to do security stuff.  Busybx no passwd shell on 23, no-auth CGIs, also never hook it up to a human being<\/p>\n<p>\u2014 dyngnosis (@dyngnosis) <a href=\"https:\/\/twitter.com\/dyngnosis\/status\/592671049487142913?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 27, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p style=\"text-align: right\"><em>Tradu\u00e7\u00e3o: Juliana Costa Santos Dias<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Em mais um exempo de inseguran\u00e7a de dispositivos m\u00e9dicos inteligentes, esse surgiu recentemente atrav\u00e9s de uma linha de bombas de medicamentos de Hospira que est\u00e1 exposta a uma s\u00e9rie de<\/p>\n","protected":false},"author":42,"featured_media":5268,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1260,14],"tags":[708,706,707,685],"class_list":{"0":"post-5265","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"tag-dispositivos-de-medicina-inteligente","10":"tag-dispositivos-de-seguranca","11":"tag-dispositivos-medicos","12":"tag-medicina"},"hreflang":[{"hreflang":"pt-br","url":"https:\/\/www.kaspersky.com.br\/blog\/vulnerabilidades-criticas-de-seguranca-nas-bombas-de-injecao-de-medicamentos\/5265\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.com.br\/blog\/tag\/dispositivos-de-medicina-inteligente\/","name":"dispositivos de medicina inteligente"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/5265","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/users\/42"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/comments?post=5265"}],"version-history":[{"count":2,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/5265\/revisions"}],"predecessor-version":[{"id":13356,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/posts\/5265\/revisions\/13356"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media\/5268"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/media?parent=5265"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/categories?post=5265"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.com.br\/blog\/wp-json\/wp\/v2\/tags?post=5265"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}