Cualquier dispositivo conectado a la red Wi-Fi de una vivienda podría llegar a tener problemas de seguridad en caso de que haya vulnerabilidades. Es lo que ha ocurrido con millones de robots aspiradores de la marca Shark. Tienen una vulnerabilidad de ejecución remota de código y no cuenta con parches. Vamos a explicarte cómo podría afectarte y qué debes hacer.
En caso de explotar este fallo, un atacante podría lograr:
- Controlar los dispositivos de forma remota.
- Acceder a las cámaras integradas.
- Obtener mapas del hogar.
- Robar credenciales del Wi-Fi almacenadas.
Problema de seguridad en robots Shark
Este problema ha sido detectado por parte de un investigador de seguridad independiente, como puedes ver en la publicación en tokay0. Allí muestra la hoja de tiempo desde que el fallo fue detectado hace unos meses, el pasado marzo, hasta que ha sido publicado.
Según explican, este fallo se origina en políticas MQTT de AWS IoT Core excesivamente permisivas, combinadas con una función de ejecución de comandos integrada en el firmware de las aspiradoras Shark. El investigador probó la vulnerabilidad en los modelos Shark RV2320EDUS y AV1102ARUS.
En estas pruebas, observó que afecta a todos los robots aspiradores Shark conectados a Internet que utilizan la configuración de aprovisionamiento comprometida.
El problema comienza con el acceso físico a un dispositivo afectado. Esto permite extraer el certificado AWS y la clave privada del dispositivo del firmware del mismo. Esto puede permitir que un dispositivo comprometido se suscriba a otros dispositivos Shark en la misma región, lo que puede exponer la telemetría y el tráfico de comandos de muchas aspiradoras conectadas.
Este mismo investigador también ha afirmado que el mismo certificado también podría publicar mensajes en el tema Shadow de AWS IoT de otro dispositivo si se conociera el número de serie del objetivo.
Hay que tener en cuenta que algunos modelos de robots Shark cuentan con cámaras para la navegación y la detección de obstáculos. Esto es lo que permitiría a un atacante poder usas esas cámaras y espiar a la víctima.
Qué hacer
Por el momento no hay una solución oficial. No hay parches para resolver este problema. Aun así, siempre puedes tener en cuenta ciertas recomendaciones para mantener la seguridad y evitar que puedan explotar tus dispositivos. Algunos consejos son los siguientes:
- Mantén el firmware actualizado.
- Aisla los dispositivos IoT en una red independiente.
- Consulta avisos de seguridad oficiales de la marca, SharkNinja en este caso.
Esto es algo que debes aplicar siempre que tengas algún dispositivo que pueda tener vulnerabilidades. Es importante tenerlo actualizado y revisar la configuración para asegurarte de tener todo en orden. Asegúrate de aplicarlo a tu ordenador, dispositivos móviles y cualquier otro aparato que puedas usar en tu día a día.
En definitiva, una vez más se demuestra el riesgo de tener dispositivos conectados a la red Wi-Fi, aunque sea un robot aspirador. Siempre pueden tener vulnerabilidades y es importante corregirlas lo antes posible. Asegúrate de tener las últimas versiones y revisar que todo esté en orden, con una buena configuración y hacer un uso adecuado de los aparatos.