FYI.

This story is over 5 years old.

Entretenimento

O Shodan É Realmente o Mecanismo de Busca Mais Perigoso do Mundo?

Um software que já encontrou painéis de controle de usinas de energia, serviços públicos, equipamentos científicos voláteis, crematórios e até de uma barragem na França.

Hoje em dia todo mundo provavelmente associa a internet mais a perder tempo do que a poupá-lo. Mas enquanto ficamos cada vez mais preguiçosos, inventamos jeitos de usar a internet para fazer coisas como conectar nossa porta da garagem à internet, ajustar a temperatura da nossa geladeira, desligar automaticamente nossos roteadores wireless e controlar todos os elementos da vida doméstica com um simples aplicativo de celular. Todos esses aparelhos precisam estar conectados à internet para funcionar, e o Shodan – um mecanismo de busca desenvolvido de maneira privada – vem tentando farejar todos eles.

Publicidade

O software rastreia a internet para encontrar cada aparelho conectado. Juntamente com geladeiras e roteadores, o Shodan também já encontrou painéis de controle de usinas de energia, serviços públicos, equipamentos científicos voláteis, crematórios e até de uma barragem na França. O que significa que, com o know-how sádico correto, alguém pode muito bem rastrear esses aparelhos, acessá-los e cortar a energia de uma cidade, inundar outra ou provocar um derretimento numa usina de energia com um simples clique.

Encontrar a porta dos fundos de aparelhos conectados à internet não é algo novo. Não muito tempo atrás, um cara chamado Adrian Hayter orgulhosamente deu ao mundo um site que reunia um feed de câmeras de circuito fechado conectadas online. Mas as descobertas do Shodan podem ser potencialmente mais destrutivas do que questões de privacidade, então conversei com John Matherly, criador do mecanismo de busca, para saber mais sobre as possíveis implicações de seu software.

John Matherly.

VICE: Oi, John. Quando você começou a trabalhar no Shodan?
John Matherly: Comecei com uma máquina Dell de £100 no meu tempo livre e trabalhei continuamente nisso por três anos. Quando comecei, eu adicionava uns 10, 100 mil registros por mês, agora adiciono centenas de milhões ao mês. A velocidade com que consigo rastrear pela internet tem se acelerado bastante.

Uau, é muita coisa. Mas qual o propósito do Shodan?
Bom, ele acabou sendo usado para coisas um pouco diferentes das quais ele foi projetado. Criei o Shodan basicamente para que as companhias pudessem rastrear onde seus softwares estavam sendo usados. O que aconteceu é que pesquisadores de segurança são capazes de usar isso para achar todos esses softwares, todos os aparelhos que rodam isso por aí.

Publicidade

Pesquisadores de segurança trabalham com testes de vulnerabilidade há muito tempo em usinas de energia e sistemas do tipo, mas antes do Shodan eles não tinham nenhuma base de dados realmente empírica para dizer: “Isso é uma ameaça real”. O Shodan acabou sendo usado para fornecer bases empíricas para os argumentos deles – provando onde é possível acessar remotamente sistemas de, digamos, uma usina de energia ou uma barragem.

O Shodan funciona de um jeito parecido com o Google?
Sim, é similar. O Google procura por URLs – eu não faço isso. A única coisa que faço é escolher aleatoriamente um IP entre os vários que existem, estando ele em funcionamento ou não, e tento me conectar a ele por diferentes portas. Provavelmente isso não é parte da rede visível no sentido que não dá para simplesmente usar um navegador qualquer. Não é algo que a maioria das pessoas conseguiria descobrir facilmente, não é algo visual da mesma maneira que um site.

Controle de um crematório que você pode acessar do seu computador.

Que tipo de coisas estão conectadas à internet e você pôde acessar? Você achou algo que não esperava?
Bom, o cíclotron – um acelerador de partículas – é uma dessas coisas. É um equipamento de física teórica, muitíssimo volátil e que nunca deveria estar online. E tem várias outras coisas estranhas, como crematórios. Esses são bem bizarros. Você vê o nome do paciente aparecer e há diferentes configurações – eles têm uma configuração para crianças, por exemplo. Não é preciso identificação, senha, nada.

Publicidade

É, isso é bizarro. Mas também é fascinante de um jeito mórbido. Mais alguma coisa?
Câmeras de circuito interno são bem populares porque são algo que as pessoas comuns conseguem entender. As pessoas gostam da ideia de encontrar algum escritório aleatório que possam espiar. Há também essa enorme barragem hidrelétrica na França que está online. E o mais interessante é que a barragem tem um histórico de falhas. A cidade próxima teve um incidente de inundação por causa de um problema na represa.

Usinas de energia não deveriam ter sistemas seguros?
Um dos motivos para eles terem esse problema é porque estavam tentando economizar dinheiro. A internet não existia quando muitas dessas usinas foram construídas, então eles simplesmente compraram um adaptador para ligar seus sistemas à internet e economizar algum dinheiro para configurar isso corretamente. Eles obviamente não pensaram na segurança e agora têm que lidar com a repercussão disso.

E você disse que muitas coisas não exigem senhas?
É verdade. E mesmo os aparelhos que exigem identificação usam as credenciais predefinidas boa parte das vezes, então você pode entrar no Shodan e procurar pela senha padrão e acessar isso facilmente.

Controles de uma estação de tratamento de água que, tecnicamente, você pode acessar do seu quarto.

Então hoje em dia tudo está sendo conectado à internet, certo?
Este ano deve ser o ano da “internet nas coisas”. Muitos aparelhos vêm com conectividade agora. Mas o que as pessoas não percebem quando conectam sua webcam para poder ver seu bebê pelo computador do trabalho ou querem fazer todas essas coisas pelo celular, é que há implicações de segurança. Não é porque você não consegue achar seu nome no Google que você não é rastreável.

Publicidade

E quais são suas preocupações?
Há diferentes níveis de questões de segurança. As webcams provavelmente são uma ameaça mínima, mas obviamente isso afeta a privacidade. Aparelhos pequenos não são tecnicamente uma questão de segurança nacional. Mas meu argumento é que, se você puder comprometer centenas de milhares deles, isso realmente se torna um problema de segurança nacional. Afinal, se você tem o controle de tantos aparelhos num único país, então realmente pode fazer muito estrago. Isso definitivamente se torna mais crítico dependendo dos números.

Você se surpreende que nada mais sério tenha acontecido ainda?
Acho que as pessoas subestimam a quantidade de conhecimento técnico necessário para ir da descoberta à exploração desse tipo de coisa com sucesso. Em segundo lugar, você não sabe por quanto tempo o sistema foi realmente afetado. Você pode comprometer esse sistema, colocar algo dormente nele, mas quando quiser usar isso para fins estratégicos, precisará ter a capacidade de entrar ali de novo.

Então já pode haver um vírus dormente num sistema potencialmente importante?
Pode sim. Quer dizer, você precisa de conhecimento bem específico – não dá para ser um moleque de 16 anos e tomar o controle de uma usina elétrica, não é assim tão fácil. Você pode conseguir encontrar isso com o Shodan, mas instalar mesmo seu próprio código requer conhecimento real do aparelho, especialmente para coisas grandes como usinas de energia.

Publicidade

Então o que impede criminosos com esses conhecimentos de usar o Shodan para criar o caos?
Pessoas que realmente sabem o que estão fazendo e têm intenções criminosas não usariam o Shodan porque não iam querer ter suas ações rastreadas. O Shodan não é um serviço anônimo. Quem quer utilizá-lo para conseguir uns 50 resultados –  o que não é muito – tem que fornecer informações pessoais e de pagamento. Se alguém quisesse fazer algo realmente ilegal, essa pessoa usaria botnets para reunir essas informações.

Obrigado, John!

Siga o Sam no Twitter: @sambobclements

Mais coisas hacker:

O Bradley Manning Se Declarou Culpado

O Anonymous Hackeou o Bank of America

O Jornalista da Reuters que Brincou com o Anonymous e Se Queimou