Gli hacker possono spegnere una Jeep a distanza

Abbassare la temperatura dell’aria condizionata, accendere la radio a tutto volume e attivare i tergicristalli. Queste sono alcune cose che si possono fare a distanza, sfruttando una grave vulnerabilità individuata da due hacker nel sistema di infotainment Uconnect installato sulle Jeep Cherokee di Fiat Chrysler Automobiles (FCA). Gli esperti di sicurezza Charlie Miller e Chris Valasek hanno effettuato una dimostrazione sul campo, sottolineando che il bug consente di eseguire azioni molto più pericolose, come disattivare i freni e spegnare il veicolo in mezzo ad un’autostrada.

Tutte le case automobilistiche offrono “computer su quattro ruote” ai loro clienti, ma troppo raramente si presta la dovuta attenzione alla sicurezza. Circa due anni fa, Miller e Valasek avevano già evidenziato la facilità con cui un malintenzionato può controllare un veicolo, sfruttando le vulnerabilità del software. In quel caso era però necessario collegare il notebook alla porta diagnostica dell’auto. Ora è possibile effettuare il car hacking in modalità wireless, anche da diversi chilometri di distanza. I due hacker illustreranno la loro ricerca durante la conferenza Black Hat di agosto e pubblicheranno una porzione dell’exploit su Internet.

Il sistema Uconnect, presente su migliaia di veicoli di FCA, permette di controllare il navigatore, riprodurre la musica ed effettuare chiamate telefoniche sulla rete dell’operatore Sprint. Utilizzando un notebook e un cellulare “usa e getta” è possibile individuare i veicoli in circolazione attraverso i loro VIN (Vehicle Identification Number), l’indirizzo IP e le coordinate GPS, oltre a marca e modello. I ricercatori hanno utilizzato questi dati per tracciare su Google Maps gli spostamenti delle automobili a diversi chilometri di distanza.

Miller e Valasek hanno quindi riprogrammato il chip che gestisce il sistema di infotainment (solo nel veicolo usato per i test), installando un firmware che permette di inviare comandi attraverso la rete interna, nota come CAN bus. L’exploit che sfrutta la vulnerabilità di Uconnect consente di disattivare i freni, girare il volante e spegnere il motore. Prima di rendere pubblica la loro scoperta, i due hacker hanno collaborato con FCA per sviluppare una patch, disponibile sul sito del produttore dal 16 luglio. Sfortunatamente, l’aggiornamento deve essere effettuato manualmente, dall’utente o dalla concessionaria, mediante un drive USB.

Aggiornamento: Con una nota dell’ufficio stampa EMEA, il gruppo FCA fa sapere che i veicoli Jeep europei sono al sicuro: l’attacco dimostrato da Miller e Valasek può essere portato avanti soltanto sui veicoli venduti negli USA.