{"id":21274,"date":"2024-10-04T11:14:46","date_gmt":"2024-10-04T14:14:46","guid":{"rendered":"https:\/\/www.ethicalhacker.com.br\/site\/?p=21274"},"modified":"2024-10-04T11:14:47","modified_gmt":"2024-10-04T14:14:47","slug":"hackers-poderiam-controlar-remotamente-carros-da-kia","status":"publish","type":"post","link":"https:\/\/www.ethicalhacker.com.br\/site\/2024\/10\/exploits\/hackers-poderiam-controlar-remotamente-carros-da-kia\/","title":{"rendered":"Hackers poderiam controlar remotamente carros da Kia"},"content":{"rendered":"\n\n\n<p><strong>Hackers poderiam controlar remotamente carros da Kia usando apenas placas de licen\u00e7a<\/strong><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Pesquisadores de seguran\u00e7a cibern\u00e9tica revelaram um conjunto de vulnerabilidades agora corrigidas em ve\u00edculos da Kia, que se exploradas com sucesso poderiam permitir o controle remoto de determinadas fun\u00e7\u00f5es apenas utilizando a placa de licen\u00e7a do ve\u00edculo.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;Esses ataques poderiam ser executados remotamente em qualquer ve\u00edculo equipado com o hardware necess\u00e1rio em cerca de 30 segundos, independentemente de ter uma assinatura ativa do Kia Connect&#8221;, explicaram os pesquisadores de seguran\u00e7a Neiko Rivera, Sam Curry, Justin Rhinehart e Ian Carroll.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">As falhas afetam quase todos os ve\u00edculos fabricados ap\u00f3s 2013, permitindo que invasores tenham acesso a informa\u00e7\u00f5es sens\u00edveis, como nome, n\u00famero de telefone, e-mail e endere\u00e7o f\u00edsico da v\u00edtima. Esse acesso poderia ser explorado para que o atacante se adicionasse como um &#8220;usu\u00e1rio invis\u00edvel&#8221; no sistema do carro, sem o conhecimento do propriet\u00e1rio.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">A pesquisa revela que os problemas exploram a infraestrutura dos concession\u00e1rios Kia (&#8220;kiaconnect.kdealer[.]com&#8221;), usada para ativa\u00e7\u00e3o dos ve\u00edculos. A falha permitia que os invasores registrassem uma conta falsa atrav\u00e9s de uma solicita\u00e7\u00e3o HTTP, gerando tokens de acesso. Esses tokens, em seguida, poderiam ser usados juntamente com outro pedido HTTP ao endpoint da concession\u00e1ria (APIGW) e ao n\u00famero de identifica\u00e7\u00e3o do ve\u00edculo (VIN), para obter informa\u00e7\u00f5es pessoais do propriet\u00e1rio, como nome, telefone e e-mail.<\/p>\n<p>\u00a0<\/p>\n<p><iframe loading=\"lazy\" title=\"Remotely Unlocking any Kia with Just a License Plate (Kiatool Demo)\" src=\"\/\/www.youtube.com\/embed\/jMHFCpQdZyg\" width=\"610\" height=\"315\" frameborder=\"0\" allowfullscreen=\"allowfullscreen\"><\/iframe><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Al\u00e9m disso, os pesquisadores descobriram que era poss\u00edvel acessar o ve\u00edculo da v\u00edtima fazendo apenas quatro solicita\u00e7\u00f5es HTTP. Com isso, o invasor poderia executar comandos remotos no carro. O processo b\u00e1sico envolvia os seguintes passos:<\/p>\n<p>\u00a0<\/p>\n<ul>\n<li style=\"text-align: justify;\">Gerar o token da concession\u00e1ria e recuperar o cabe\u00e7alho &#8220;token&#8221; da resposta HTTP usando o m\u00e9todo mencionado anteriormente.<\/li>\n<li>Buscar o e-mail e o n\u00famero de telefone da v\u00edtima.<\/li>\n<li style=\"text-align: justify;\">Modificar o acesso anterior do propriet\u00e1rio, utilizando o e-mail e o n\u00famero VIN vazados, adicionando o atacante como o principal respons\u00e1vel pela conta.<\/li>\n<li style=\"text-align: justify;\">Adicionar o atacante ao sistema do ve\u00edculo, inserindo um e-mail sob seu controle como o propriet\u00e1rio principal do carro, desta forma permitindo a execu\u00e7\u00e3o de comandos arbitr\u00e1rios.<\/li>\n<\/ul>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;Do lado da v\u00edtima, n\u00e3o havia nenhuma notifica\u00e7\u00e3o de que seu ve\u00edculo havia sido acessado ou de que suas permiss\u00f5es de acesso haviam sido alteradas&#8221;, relataram os pesquisadores.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Em um cen\u00e1rio hipot\u00e9tico de ataque, um cibercriminoso poderia inserir a placa de licen\u00e7a de um ve\u00edculo Kia em um painel de controle customizado, recuperar as informa\u00e7\u00f5es da v\u00edtima e executar comandos no carro em cerca de 30 segundos.<\/p>\n<p>\u00a0<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEiVrHT5d-qo9xO5dV87WRDsF-1U3N4q1DDdujHZ6Xs5ybxR-A31hyphenhyphenW80YNYjVTiDIT9DVQg6MjR0sOLjc8o7YyRuRIiGfG_gRClovWkUGUzaFIgi6tn_2-GfA4IDFSouF8oLRYlk5R7bd6oeBVpuq5TGxJgffDkXq2yLuAnTYP4uj-w8mYk-UZRFIPYVWd5\/s728-rw-e365\/hacker.png\" alt=\"Remotely Controlled Kia Cars\" width=\"601\" height=\"413\" \/><\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">Ap\u00f3s a divulga\u00e7\u00e3o respons\u00e1vel em junho de 2024, as falhas foram corrigidas pela Kia no dia 14 de agosto de 2024. N\u00e3o h\u00e1 evid\u00eancias de que essas vulnerabilidades tenham sido exploradas de forma maliciosa antes da corre\u00e7\u00e3o.<\/p>\n<p>\u00a0<\/p>\n<p style=\"text-align: justify;\">&#8220;Os carros continuar\u00e3o a ter vulnerabilidades, da mesma forma que uma mudan\u00e7a de c\u00f3digo no Meta poderia permitir que algu\u00e9m assumisse o controle da sua conta no Facebook, os fabricantes de ve\u00edculos tamb\u00e9m podem cometer erros que comprometam a seguran\u00e7a do seu carro&#8221;, informaram os pesquisadores.<\/p>\n<p>\u00a0<\/p>\n<p><strong>Conclus\u00e3o<\/strong><\/p>\n<div class=\"flex max-w-full flex-col flex-grow\">\n<div class=\"min-h-8 text-message flex w-full flex-col items-end gap-2 whitespace-normal break-words [.text-message+&amp;]:mt-5\" dir=\"auto\" data-message-author-role=\"assistant\" data-message-id=\"158c72db-6c54-4418-8666-fbc97d281177\">\n<div class=\"flex w-full flex-col gap-1 empty:hidden first:pt-[3px]\">\n<div class=\"markdown prose w-full break-words dark:prose-invert light\">\n<p style=\"text-align: justify;\">Este artigo ressalta a import\u00e2ncia da seguran\u00e7a cibern\u00e9tica no setor automotivo, especialmente com a crescente conectividade dos ve\u00edculos modernos. Incidentes como este mostram que os riscos de seguran\u00e7a v\u00e3o al\u00e9m dos computadores e smartphones, agora englobando tamb\u00e9m os autom\u00f3veis, que podem ser alvo de hackers com inten\u00e7\u00f5es maliciosas. Para os propriet\u00e1rios de ve\u00edculos conectados, manter os sistemas atualizados e estar ciente de vulnerabilidades pode ser crucial para evitar que invasores se aproveitem de falhas de seguran\u00e7a.<\/p>\n<\/div>\n<\/div>\n<p>\u00a0<\/p>\n<div class=\"flex w-full flex-col gap-1 empty:hidden first:pt-[3px]\">\n<p>Fonte: <a href=\"https:\/\/thehackernews.com\/2024\/09\/hackers-could-have-remotely-controlled.html\" target=\"_blank\" rel=\"noopener\">https:\/\/thehackernews.com\/2024\/09\/hackers-could-have-remotely-controlled.html<\/a><\/p>\n<\/div>\n<p>\u00a0<\/p>\n<\/div>\n<\/div>\n<div class=\"mb-2 flex gap-3 empty:hidden -ml-2\">\n<div class=\"items-center justify-start rounded-xl p-1 flex\">\n<div class=\"flex items-center\">\n<div class=\"flex items-center pb-0\">\u00a0<\/div>\n<\/div>\n<\/div>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Hackers poderiam controlar remotamente carros da Kia usando apenas placas de licen\u00e7a \u00a0 Pesquisadores de seguran\u00e7a cibern\u00e9tica revelaram um conjunto de vulnerabilidades agora corrigidas em ve\u00edculos da Kia, que se exploradas com sucesso poderiam permitir o controle remoto de determinadas fun\u00e7\u00f5es apenas utilizando a placa de licen\u00e7a do ve\u00edculo. \u00a0 &#8220;Esses ataques poderiam ser executados [&hellip;]<\/p>\n","protected":false},"author":2,"featured_media":21277,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[89,100,21,105],"tags":[],"class_list":["post-21274","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-basico","category-diversos","category-exploits","category-noticias"],"_links":{"self":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21274","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/comments?post=21274"}],"version-history":[{"count":7,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21274\/revisions"}],"predecessor-version":[{"id":21282,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/posts\/21274\/revisions\/21282"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media\/21277"}],"wp:attachment":[{"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/media?parent=21274"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/categories?post=21274"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ethicalhacker.com.br\/site\/wp-json\/wp\/v2\/tags?post=21274"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}