Vulnerabilidades no Amazon Kindle permitiam controlo malicioso de dispositivos e roubo de informação

O Kindle chegou a Portugal em 2009 e conta, hoje, com dezenas de milhões de utilizadores em todo o mundo

Após a identificação da vulnerabilidade pela Check Point, a Amazon lançou a devida correção

A Check Point Research (CPR), área de Threat Intelligence da Check Point® Software Technologies Ltd. (NASDAQ: CHKP), fornecedor líder de soluções de cibersegurança a nível global, identificou falhas de segurança num dos mais populares e-readers do mundo, o Amazon Kindle. Se exploradas com sucesso, o atacante poderia controlar a conta Kindle do utilizador visado, resultando no possível roubo do token Amazon do dispositivo ou outras informações sensíveis armazenadas. A exploração seria desencadeada pela abertura de um e-book malicioso no dispositivo Kindle. Desde o seu lançamento, em 2007, estima-se que a venda destes equipamentos ronde as dezenas de milhões.

E-book como fonte de malware

O ataque inicia-se com o envio de um e-book malicioso à vítima. Uma vez “entregue”, a vítima teria apenas de clicar para abrir o ficheiro para desencadear a cadeia da exploração. Nenhuma outra interação é necessária do lado do visado para que o ataque seja executado. A Check Point Research comprovou que um e-book poderia ser usado como malware, resultando numa série de consequências danosas: o atacante poderia apagar os e-books do utilizador ou converter o Kindle num bot malicioso, utilizando o mesmo para atacar outros dispositivos da rede.

Demografia das vítimas

As falhas de segurança permitiriam que o atacante definisse especificamente a audiência que quer atacar, o que, naturalmente, preocupou a equipa de investigação. Por exemplo, se um agente malicioso quisesse atingir um certo grupo de pessoas ou demografia, poderia facilmente selecionar um e-book popular numa língua ou dialeto concretos para orquestrar um ciberataque altamente direcionado.

“O Kindle, como muitos outros dispositivos IoT, é muitas vezes considerado inócuo ou isento de riscos de cibersegurança. A nossa investigação demonstra que qualquer dispositivo eletrónico, no final das contas, é uma forma de computador. E como tal, estes dispositivos IoT são vulneráveis aos mesmos ataques que os computadores. Todos devemos estar cientes dos riscos cibernéticos na utilização de qualquer coisa ligada ao computador, especialmente algo tão omnipresente como o Kindle da Amazon,” afirma Yaniv Balmas, Head of Cyber Research at Check Point Software. “Neste caso em específico, o que nos alarmou mais foi o grau de especificidade que o ataque poderia atingir. Uma vez mais, demonstrámos a importância de encontrar estas vulnerabilidades de segurança a tempo de serem mitigadas e antes de os ‘verdadeiros’ atacantes tenham oportunidade de as explorar. Felizmente, a Amazon foi cooperante ao longo de todo o processo de divulgação, estamos satisfeitos por terem lançado a devida correção."

A CPR fez chegar as suas descobertas à Amazon em fevereiro de 2021. Em abril, a Amazon lançou uma correção para a versão 5.13.5 da atualização de firmware do Kindle. O firmware corrigido instala-se automaticamente em dispositivos ligados à Internet.