Les pirates informatiques peuvent infecter des clés à molette connectées au réseau pour installer des logiciels de rançon.

Des chercheurs ont découvert près de deux douzaines de vulnérabilités qui pourraient permettre aux pirates informatiques de saboter ou désactiver une ligne populaire de clés à douille connectées au réseau utilisées par les usines du monde entier pour assembler des instruments et des appareils sensibles. Les vulnérabilités, signalées mardi par des chercheurs de la société de sécurité Nozomi, se trouvent dans le Bosch Rexroth Handheld Nutrunner NXA015S-36V-B. Cet appareil sans fil, qui se connecte sans fil au réseau local des organisations qui l’utilisent, permet aux ingénieurs de serrer les boulons et autres fixations mécaniques à des niveaux de couple précis, essentiels pour la sécurité et la fiabilité. Lorsque les fixations sont trop lâches, elles risquent de provoquer la surchauffe de l’appareil et des départs de feu. Lorsqu’elles sont trop serrées, les filets peuvent se rompre et entraîner des couples trop faibles. Le Nutrunner fournit un affichage du niveau de couple soutenu par une certification de l’Association des ingénieurs allemands et adopté par l’industrie automobile en 1999. Le NEXO-OS, le micrologiciel exécuté sur les appareils, peut être contrôlé à l’aide d’une interface de gestion basée sur un navigateur. Les chercheurs de Nozomi ont déclaré que l’appareil était truffé de 23 vulnérabilités qui, dans certains cas, pouvaient être exploitées pour installer des logiciels malveillants. Les logiciels malveillants pourraient ensuite être utilisés pour désactiver l’ensemble des appareils ou pour les serrer trop lâchement ou trop serré, tandis que l’affichage continue d’indiquer que les réglages critiques sont toujours correctement en place. Les responsables de Bosch ont envoyé un courriel contenant une déclaration qui comprenait les lignes habituelles sur la sécurité étant une priorité absolue. La déclaration mentionnait ensuite que Nozomi avait contacté l’entreprise il y a quelques semaines pour révéler les vulnérabilités. « Bosch Rexroth a immédiatement pris en compte ce conseil et travaille sur un correctif pour résoudre le problème », indiquait la déclaration. « Ce correctif sera publié fin janvier 2024. » Dans un article, les chercheurs de Nozomi ont écrit :