{"id":6041,"date":"2015-05-12T16:55:16","date_gmt":"2015-05-12T16:55:16","guid":{"rendered":"http:\/\/kasperskydaily.com\/spain\/?p=6041"},"modified":"2017-09-21T17:09:53","modified_gmt":"2017-09-21T15:09:53","slug":"drug-pump-security-bugs","status":"publish","type":"post","link":"https:\/\/www.kaspersky.es\/blog\/drug-pump-security-bugs\/6041\/","title":{"rendered":"Vulnerabilidades de seguridad cr\u00edticas en las bombas de infusi\u00f3n de medicamentos"},"content":{"rendered":"<p>En <a href=\"https:\/\/www.kaspersky.es\/blog\/hacking-robotic-surgeons\/5967\/\" target=\"_blank\" rel=\"noopener\">otro ejemplo de inseguridad en dispositivos m\u00e9dicos inteligentes<\/a>, ha surgido recientemente que una l\u00ednea de bombas de infusi\u00f3n de medicamento de Hospira est\u00e1 expuesta a una serie de vulnerabilidades que pueden ser explotadas de manera remota, permitiendo que un atacante se haga con el control de las bombas de infusi\u00f3n afectadas o simplemente hacerlas inservibles.<\/p>\n<p><a href=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2015\/05\/05220103\/13-05-2015-10-18-51.jpg\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-6044\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/88\/2015\/05\/05220103\/13-05-2015-10-18-51.jpg\" alt=\"13-05-2015 10-18-51\" width=\"798\" height=\"599\"><\/a><\/p>\n<p>Estas bombas de infusi\u00f3n son parte de una nueva serie de dispositivos m\u00e9dicos conectados e inteligentes. Como he mencionado antes, particularmente <a href=\"https:\/\/www.kaspersky.es\/blog\/ataques-contra-seres-humanos\/1352\/\" target=\"_blank\" rel=\"noopener\">respecto a las bombas de infusi\u00f3n de alta tecnolog\u00eda<\/a>, los dispositivos m\u00e9dicos inteligentes evitan el factor riesgo de error humano para aquella gente que necesita la administraci\u00f3n de medicamentos de manera cr\u00f3nica. Por desgracia, muchas de las compa\u00f1\u00edas que est\u00e1n desarrollando estos dispositivos, han demostrado ignorar este detalle repetidas veces.<\/p>\n<div class=\"pullquote\">\n<p>Adem\u00e1s de ser susceptibles a ataques, est\u00e1n tan mal programados que se podr\u00edan inutilizar con un solo movimiento.<\/p>\n<\/div>\n<p>Las bombas de infusi\u00f3n de Hospira son tan vulnerables, que incluso el investigador de seguridad Jeremy Richards dijo que son los dispositivos con IP habilitado m\u00e1s inseguros con los que ha trabajado nunca. Tambi\u00e9n se\u00f1ala que un criminal podr\u00eda inutilizar el dispositivo de forma remota, un proceso popularmente conocido como <em>enladrillar.<\/em><\/p>\n<p>\u201cNo solo son susceptibles a sufrir ataques\u201d, escribi\u00f3 Richards, \u201cest\u00e1n tan mal programados que podr\u00edan inutilizarlos con un movimiento\u201d.<\/p>\n<p>Richards afirma que los hackers tambi\u00e9n podr\u00edan actualizar el software del dispositivo, ejecutar comandos y manipular las bibliotecas espec\u00edficas del medicamento al que corresponden los c\u00f3digos de barras impresos en viales que indican la dosificaci\u00f3n y otra informaci\u00f3n cr\u00edtica.<\/p>\n<p>Es interesante que no s\u00f3lo uno, sino dos investigadores descubrieran por su cuenta los virus en las inyecciones de medicamentos. Primero fue Billy Rios, conocido por haber <a href=\"https:\/\/www.kaspersky.es\/blog\/hackear-los-escaneres-de-los-aeropuertos\/2764\/\" target=\"_blank\" rel=\"noopener\">hackeado la seguridad de un aeropuerto<\/a>, <a href=\"https:\/\/www.kaspersky.es\/blog\/internet-de-las-cosas-inutiles\/5423\/\" target=\"_blank\" rel=\"noopener\">los t\u00faneles de lavado autom\u00e1tico<\/a> y los <a href=\"https:\/\/www.kaspersky.es\/blog\/internet-of-crappy-things-2\/5895\/\" target=\"_blank\" rel=\"noopener\">sistemas de dom\u00f3tica<\/a>.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">A security flaw in a widely used IV pump lets hackers raise drug-dosage limits <a href=\"http:\/\/t.co\/8FuMz23ngG\" target=\"_blank\" rel=\"noopener nofollow\">http:\/\/t.co\/8FuMz23ngG<\/a><\/p>\n<p>\u2014 WIRED (@WIRED) <a href=\"https:\/\/twitter.com\/WIRED\/status\/586337339867320320?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 10, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>A pesar de que la investigaci\u00f3n de Rios se divulg\u00f3 en la ICS-CERT hace m\u00e1s de un a\u00f1o, parmenece in\u00e9dita, mientras que la de Richards se public\u00f3 la semana pasada. Rios le dio la bendici\u00f3n a Richard a trav\u00e9s de Twitter para publicar sus descubrimientos.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/dyngnosis?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@dyngnosis<\/a> submitted to ICS-CERT a year ago, but feel free to publish!<\/p>\n<p>\u2014 Billy Rios (@XSSniper) <a href=\"https:\/\/twitter.com\/XSSniper\/status\/593245276766273536?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 29, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Lo m\u00e1s preocupante es que estos dispositivos de Hospira almacenan claves de acceso a redes Wi-Fi protegidas (WPA) en formato archivo de texto. Si un atacante logra robar una de estas claves WPA, los dispositivos conectados a la misma red podr\u00edan quedar expuestos a espionaje u otros ataques. Estas claves tambi\u00e9n podr\u00edan robarse de los dispositivos que est\u00e1n fuera de servicio si el hospital no elimina las claves de red antes de retirar o vender estos aparatos. M\u00e1s sencillo a\u00fan, estos dispositivos contienen un puerto ethernet expuesto que podr\u00eda permitir ataques f\u00e1ciles y r\u00e1pidos utilizando herramientas de hackeo automatizadas.<\/p>\n<p>No est\u00e1 claro si Hospira tiene la intenci\u00f3n de arreglar estas vulnerabilidades. Richards asegura que s\u00ed est\u00e1n planeando hacerlo, pero las declaraciones de la propia compa\u00f1\u00eda parecen contradecir estas declaraciones.<\/p>\n<blockquote class=\"twitter-pullquote\"><p>Ciertas bombas de infusi\u00f3n de medicamentos de Hospira contienen vulnerabilidades de #seguridad peligrosas que pueden explotar f\u00e1cilmente.<\/p><a href=\"https:\/\/twitter.com\/share?url=https%3A%2F%2Fkas.pr%2FM5SF&amp;text=Ciertas+bombas+de+infusi%C3%B3n+de+medicamentos+de+Hospira+contienen+vulnerabilidades+de+%23seguridad+peligrosas+que+pueden+explotar+f%C3%A1cilmente.\" class=\"btn btn-twhite\" data-lang=\"en\" data-count=\"0\" target=\"_blank\" rel=\"noopener nofollow\">Tweet<\/a><\/blockquote>\n<p>En respuesta a un mail de nuestro <a href=\"https:\/\/threatpost.com\/vulnerability-riddled-drug-pumps-open-to-takeover\/112629\" target=\"_blank\" rel=\"noopener nofollow\">colega de Threatpost, Chris Book<\/a>, Hospira dijo: \u201cNo existen casos en que los dispositivos de Hospira hayan sido violados en un entorno cl\u00ednico y Hospira ha adoptado un enfoque proactivo para hacer frente a las posibles vulnerabilidades de seguridad inform\u00e1tica\u201d.<\/p>\n<p>La compa\u00f1\u00eda asegura que ya les ha comunicado a sus usuarios actuales la manera de enfrentar estas vulnerabilidades. Sin embargo, la compa\u00f1\u00eda no ha dicho que fuera a solucionarlo, solo que planea mitigar estas preocupaciones para sus futuros productos.<\/p>\n<p>\u201cTambi\u00e9n es importante se\u00f1alar que para explotar vulnerabilidades es necesario penetrar varias capas de seguridad de la red, forzadas por el sistema de informaci\u00f3n del hospital, incluyendo los firewalls de seguridad\u201d, dijo la compa\u00f1\u00eda en un comunicado. \u201cEstas medidas de seguridad de red sirven como la primera l\u00ednea de defensa contra la manipulaci\u00f3n, mientras que las bombas de infusi\u00f3n y el software proveen una capa de seguridad adicional\u201d.<\/p>\n<p>Mientras tanto, os dejar\u00e9 con esto:<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\">Don't buy a Hospira PCA drug  pump to do security stuff.  Busybx no passwd shell on 23, no-auth CGIs, also never hook it up to a human being<\/p>\n<p>\u2014 dyngnosis (@dyngnosis) <a href=\"https:\/\/twitter.com\/dyngnosis\/status\/592671049487142913?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 27, 2015<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Se ha dado a conocer recientemente que ciertas bombas de infusi\u00f3n de medicamentos de Hospira contienen vulnerabilidades de seguridad peligrosas que pueden explotar f\u00e1cilmente.<\/p>\n","protected":false},"author":42,"featured_media":6042,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1348,6],"tags":[1241,1242,1243],"class_list":{"0":"post-6041","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"tag-dispositivo-medico-de-seguridad","10":"tag-dispositivos-medicos-integrados","11":"tag-dispositivos-medicos-inteligentes"},"hreflang":[{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/drug-pump-security-bugs\/6041\/"},{"hreflang":"ar","url":"https:\/\/me.kaspersky.com\/blog\/drug-pump-security-bugs\/3373\/"},{"hreflang":"en-us","url":"https:\/\/usa.kaspersky.com\/blog\/drug-pump-security-bugs\/5331\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/drug-pump-security-bugs\/5741\/"},{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/drug-pump-security-bugs\/6036\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/drug-pump-security-bugs\/7736\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/drug-pump-security-bugs\/8650\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/drug-pump-security-bugs\/4523\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/drug-pump-security-bugs\/7581\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/drug-pump-security-bugs\/7736\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/drug-pump-security-bugs\/8650\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/drug-pump-security-bugs\/8650\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.es\/blog\/tag\/dispositivo-medico-de-seguridad\/","name":"dispositivo m\u00e9dico de seguridad"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/6041","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/users\/42"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/comments?post=6041"}],"version-history":[{"count":1,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/6041\/revisions"}],"predecessor-version":[{"id":11405,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/posts\/6041\/revisions\/11405"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media\/6042"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/media?parent=6041"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/categories?post=6041"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.es\/blog\/wp-json\/wp\/v2\/tags?post=6041"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}