BlueBorne: falha afeta silenciosamente quase todos os seus gadgets que tenham Bluetooth

Falhas de segurança muito importantes costumam ganhar nomes, como Heartbleed, Stagefright e QuadRooter. Temos uma nova: o BlueBorne foi descoberto pela empresa de segurança Armis e afeta bilhões de dispositivos com Bluetooth, incluindo todos os smartphones, tablets e wearables com Android e computadores com Windows Vista ou mais recente.

O BlueBorne é um conjunto de oito vulnerabilidades zero-day, sendo que quatro delas são classificadas como críticas. As brechas estão em smartphones, tablets, computadores, automóveis e outros gadgets conectados com Android, iOS, Windows e Linux. Se exploradas, as falhas permitem que hackers tomem controle total dos dispositivos e acessem indevidamente dados sensíveis.

Na prática, quase todos os seus dispositivos com Bluetooth que não receberam uma correção recentemente podem ser atacados em menos de 10 segundos se estiverem a até 10 metros de uma pessoa mal intencionada. Não é necessário clicar em nada, nem instalar nenhum software: basta estar com a conexão Bluetooth ligada, e o código malicioso pode ser executado silenciosamente.

Como funciona?

Como explica a Armis:

“Primeiro, o atacante procura conexões Bluetooth ativas em torno dele. Os dispositivos podem ser identificados mesmo se não estiverem no modo de descoberta. Depois, o atacante obtém o endereço MAC do dispositivo, que é o identificador único daquele aparelho específico. Ao testar o dispositivo, o atacante pode determinar qual sistema operacional a vítima está utilizando, e ajustar o exploit de acordo.

O atacante, então, pode explorar a vulnerabilidade na implementação do protocolo Bluetooth na plataforma em questão e ganhar o acesso que precisa para agir com um objetivo malicioso. Nesse estágio, o atacante pode escolher entre fazer um ataque man-in-the-middle, controlando a comunicação do dispositivo, ou tomar controle total do aparelho e utilizá-lo para um grande leque de fins cibercriminosos”.

Em resumo, isso é sério pra caramba. Mesmo. Eu sempre quis escrever em vermelho aqui no TB. Agora é a hora.

Quem é afetado?

Praticamente todo mundo que está lendo este texto, incluindo os que possuem:

• Qualquer computador com Bluetooth com Windows Vista ou mais recente que ainda não recebeu a atualização de emergência da Microsoft, liberada nesta segunda-feira (12);
• Qualquer smartphone, tablet e wearable (exceto os que possuem apenas Bluetooth Low-Energy) com Android que ainda não recebeu o patch de segurança mensal de setembro;
• Qualquer dispositivo com o kernel do Linux a partir da versão 3.3-rc1 (lançada em outubro de 2011) ou BlueZ, incluindo o Gear S3, as Smart TVs e a geladeira inteligente da Samsung, que rodam Tizen;
• Qualquer iPhone, iPad ou iPod touch com iOS 9.3.5 ou inferior (o bug foi corrigido no iOS 10), e qualquer Apple TV na versão 7.2.2 ou inferior.

O que fazer?

A recomendação mais segura é: se você não estiver utilizando o Bluetooth e não tem certeza de que recebeu a correção de segurança, desative a conexão no seu smartphone, tablet, notebook e outros dispositivos.

Além disso, se as empresas fizerem a parte delas, você deverá notar uma mensagem de atualização de software no seu dispositivo nas próximas horas ou dias. Não adie a instalação do patch.