- Na Polônia, trens fabricados pela Newag ficaram inoperantes após manutenção por terceiros, causando impacto na operação ferroviária e na capacidade de transporte de passageiros
- O grupo de hacking ético Dragon Sector afirma que havia no sistema de controle dos trens Impuls um código de bloqueio condicionado à localização da oficina e ao número de série das peças
- A Newag negou a existência de qualquer função para provocar falhas deliberadamente e anunciou processos por difamação e violação da lei contra hackers contra o Dragon Sector
- O Dragon Sector disse ter resolvido o problema com um unlock code não documentado inserido no painel da cabine e negou, junto com a SPS, as acusações de ter manipulado o sistema de controle
- O conflito entre fabricante e oficinas independentes se ampliou para o debate sobre o direito ao reparo, com a fronteira entre alegações de segurança, pressão jurídica e bloqueios por software no centro da discussão
Reparo por terceiros abalou a operação dos trens na Polônia
- Na Polônia, surgiram casos em que trens fabricados pela Newag deixavam de funcionar após serem mantidos por empresas que não eram a fabricante
- A oficina Serwis Pojazdów Szynowych (SPS) contratou, em junho de 2022, o grupo de hacking ético Dragon Sector para analisar o software dos trens
- Os veículos pertenciam à operadora ferroviária polonesa Lower Silesian Railway, e várias “falhas misteriosas” reduziram o número de vagões disponíveis para operação
- Segundo o Rynek Kolejowy, a falta de trens virou um “problema sério” para a operadora e para os passageiros
- Com menos veículos disponíveis, os trens ficaram mais curtos e a capacidade de transporte de passageiros também caiu
As condições de bloqueio apontadas pelo Dragon Sector
- Após analisar o software por dois meses, o Dragon Sector concluiu que a “intervenção do fabricante” levou a falhas forçadas e à impossibilidade de ligar os trens
- A principal acusação é que a Newag inseriu no sistema de controle dos trens Impuls um código que impede a operação sob determinadas condições
- Segundo o grupo, havia uma condição que fazia o trem parar de funcionar se o rastreador GPS entendesse que ele ficou estacionado por alguns dias em uma oficina independente
- O galpão de manutenção da SPS e os de empresas semelhantes do setor estariam incluídos entre as condições de localização
- Até mesmo um galpão da SPS que ainda estava em construção teria sido incluído nas condições
- Segundo a 404 Media, também surgiu a alegação de que o trem era inutilizado quando certas peças eram substituídas sem números de série aprovados pela fabricante
unlock code não documentado
- O Dragon Sector disse à 404 Media que encontrou um unlock code não documentado que podia ser inserido no painel da cabine, e que resolveu o problema com esse código
- Sergiusz Bazański, do Dragon Sector, escreveu no Mastodon que os trens eram bloqueados por motivos arbitrários depois de passarem por oficinas terceiras
- Bazański afirmou que a fabricante atribuía o problema a erro da oficina e dizia que a manutenção deveria ser feita pela própria fabricante, e não por terceiros
- Também surgiu a alegação de que, em alguns casos, a Newag parecia ter conseguido bloquear os trens remotamente
- A Newag respondeu que “qualquer intervenção remota” é “praticamente impossível”
Negação da Newag e ameaça de medidas legais
- A Newag negou ter desenvolvido software de “detecção de oficina” ou qualquer função destinada a causar falhas deliberadamente
- A empresa ameaçou processar o Dragon Sector, alegando difamação e violação de leis relacionadas a hacking
- Também declarou que os trens hackeados poderiam representar uma ameaça à segurança do tráfego ferroviário e, por isso, deveriam ser retirados de circulação
- A 404 Media informou que a alegação de segurança feita pela Newag ainda não foi comprovada
- A Newag afirmou que o relatório do Dragon Sector não é confiável e citou como motivo o fato de uma das principais concorrentes da empresa ter encomendado a análise
- O presidente da Newag, Zbigniew Konieczek, disse que não foi apresentada prova de que a empresa tenha instalado software defeituoso de forma intencional
- Ele também levantou a possibilidade de uma concorrente ter interferido no software
- Konieczek criticou Janusz Cieszyński, dizendo que ele espalhou informações falsas e muito prejudiciais sobre a Newag
Investigação das autoridades e expansão do debate sobre direito ao reparo
- A Newag disse ter contatado as autoridades para investigar o hacking e afirmou ter informado o órgão regulador ferroviário para que decida se os veículos devem ser retirados de operação
- O ex-ministro da Digitalização da Polônia, Janusz Cieszyński, escreveu no X que o presidente da Newag entrou em contato afirmando que a empresa era vítima de cibercrime
- Cieszyński disse que a análise que viu apontava em direção diferente da alegação da Newag
- O Dragon Sector e a SPS negaram as acusações de ter manipulado o sistema de controle dos trens
- A 404 Media avaliou que a resposta da Newag se parece com práticas comuns em disputas sobre direito ao reparo
- Trata-se de uma forma de pressionar oficinas concorrentes com ameaças judiciais e alegações não comprovadas de riscos de segurança em reparos por terceiros
- O Dragon Sector publicou um caso de sucesso no YouTube e discutiu os resultados na conferência Oh My H@ck, em Varsóvia
- Segundo o The Register, o Dragon Sector planeja uma apresentação mais detalhada no fim de dezembro, durante o 37th Chaos Communication Congress, em Hamburgo, Alemanha
- Michał Kowalczyk, do Dragon Sector, disse à 404 Media que a linha de defesa da Newag é fraca e que seria difícil sustentá-la em um processo real, sugerindo que a empresa parece querer apenas soar ameaçadora na imprensa
1 comentários
Comentários do Hacker News
Discussões anteriores sobre a mesma notícia:
https://news.ycombinator.com/item?id=38628635
https://news.ycombinator.com/item?id=38632033
Polish Hackers that repaired DRM trains threatened by train company - https://news.ycombinator.com/item?id=38628635 - Dec 2023 (137 comments)
Polish train maker denies claims its software bricked competitor rolling stock - https://news.ycombinator.com/item?id=38570654 - Dec 2023 (2 comments)
Dieselgate, but for trains – some heavyweight hardware hacking - https://news.ycombinator.com/item?id=38567687 - Dec 2023 (292 comments)
Polish trains lock up when serviced in third-party workshops - https://news.ycombinator.com/item?id=38530885 - Dec 2023 (359 comments)
O que realmente incomoda nesse caso é que os trens não só foram projetados para dar defeito, como esse projeto era tão malfeito que eles poderiam dar defeito em operação
Se a fabricante colocou a vida dos passageiros em risco, todos os executivos da empresa deveriam ser responsabilizados pessoalmente
https://news.ycombinator.com/item?id=38641289
Se esse ponto de vista for investigado mais a fundo, acho que deixa de ser uma simples disputa comercial e vira algo muito mais grave
O episódio do John Oliver sobre ferrovias explicou isso muito bem
Depois disso, os trabalhadores ficaram sem dias de folga, a tripulação de um trem foi reduzida para 2 pessoas e agora querem reduzir para 1
Os trens chegaram a ter, na prática, vários quilômetros de comprimento, bloquearam estradas e ambulâncias, matando várias pessoas, e houve casos de crianças atropeladas enquanto rastejavam por baixo de trens para ir à escola
O maquinista precisa caminhar por um trem de 4 milhas para “inspecioná-lo”, mas, por causa da desregulamentação, o tempo de inspeção, que antes cobria a checklist inteira, foi reduzido a algo de poucos minutos
A autoridade de um órgão regulador único foi enfraquecida, e ainda circulam trens com freios do início dos anos 1900
“Acidentes” com vazamentos de produtos químicos acontecem várias vezes por ano, tudo em nome da busca por lucro
Esses trabalhadores continuam sobrecarregados, mas não conseguem tirar licença médica a menos que a agendem com 2 a 3 meses de antecedência
Agora os acidentes ferroviários se tornaram difíceis de evitar, e o próximo pode ser mais catastrófico que o de Palestine, em Ohio
Ferrovias são realmente excelentes e podem contribuir enormemente para a sociedade; é triste que a busca corporativa por lucro e a desregulamentação tenham levado a isso
Esta história está melhor organizada neste texto:
https://badcyber.com/dieselgate-but-for-trains-some-heavywei...
Ele traz a fanfarronice descarada da direção da Newag, que, em resumo, é algo próximo de “vocês não conseguem provar que fomos nós que instalamos o software encontrado em nossos trens para atrapalhar concorrentes”
Como me interesso pelo assunto, vi o link no HN, mas, ao ler “Dieselgate”, naturalmente achei que fosse sobre emissões e deixei passar
Pensei que a questão das emissões de trens já fosse conhecida por todos e que não haveria muita novidade
O título deveria ter incluído lock-in de fornecedor ou direito ao reparo
Segundo a Dragon Sector, a Newag inseriu código no sistema de controle dos trens Impuls para fazer o trem parar de operar se o rastreador GPS indicasse que ele ficou parado por alguns dias em uma oficina independente
Isso é um indício bastante grave
Fico curioso se foi obra de um desenvolvedor isolado ou se veio de uma ordem de cima
Essa desculpa é tão absurda que, na verdade, parece deixar claro que a diretoria sabia
Claro, um desenvolvedor sozinho poderia ter tido a ideia e proposto à diretoria esperando um grande bônus
Mas por que faria isso em segredo?
É difícil imaginar um cenário em que a alta administração não estivesse envolvida
A posição atual parece ser algo como “não existe esse código nos trens e, se existir, não é nosso”
Não acho que normas de segurança isentem o fabricante da responsabilidade pelas ações dos funcionários
Pelo contrário: entendo que, mesmo havendo um funcionário problemático, a empresa deve garantir a segurança por meio de revisões, auditorias etc.
Espero que o desenvolvedor forçado a implementar isso tenha guardado provas documentais de quem mandou
Caso contrário, vai descobrir como a lealdade é recompensada hoje em dia
Ele sabia que era antiético e deveria ter se recusado
Para programadores, o risco de demissão não é um problema tão grande quanto em praticamente outras profissões
Se a pessoa que implementou isso estiver lendo, você é uma pessoa muito ruim e nociva para a sociedade
A empresa também deveria sofrer multas contratuais enormes e sanções
Não espero que aconteça, mas seria bom se acontecesse
Será que algum dia vai chegar o momento em que vender um produto com sabotagem embutida resultará em acusação por fraude e prisão?
A Newag disse que “qualquer intervenção remota é, na prática, impossível”, e isso é uma afirmação bem ousada
Pela minha experiência, quase todas as empresas que fabricam sistemas de automação e robótica mantêm algum tipo de backdoor
Não com o objetivo de desativar remotamente, mas para acessar remotamente e resolver problemas de forma rápida e eficiente quando solicitado
Não faz sentido voar até a empresa do cliente, às vezes do outro lado do planeta, só para verificar uma incompatibilidade de IP local ou uma interrupção de serviço do sistema; portanto, dizer que é “impossível” não é verdade
Resumindo: a empresa polonesa de manutenção de trens SPS desconfiou quando trens fabricados pela Newag continuavam quebrando “aleatoriamente” e não podiam ser consertados
Por causa de contratos que previam multas se o conserto atrasasse, ela vinha pagando milhões em multas ao governo polonês
Então contratou secretamente, por 2 meses, hackers chamados Dragon Sector para vasculhar o código dos trens da Newag, e os hackers encontraram coisas surpreendentes que poderiam ser vistas como capitalismo tardio, protecionismo corporativo, sabotagem ou pedido de resgate
O código secreto encontrado fazia o trem quebrar ao entrar em polígonos geográficos ao redor dos depósitos de 5 empresas polonesas de manutenção de trens, incluindo a SPS; quebrava após 1 milhão de km; quebrava se não se movesse por 10 dias; e ainda incluía uma combinação secreta de botões para desfazer a “falha”
Gosto de engenharia reversa de firmware, e isso soa como o Santo Graal
Trens, nada menos; tomara que alguém vaze os binários
Todo mundo sabe que, para esse tipo de brincadeira, é preciso esconder atrás de uma chamada de serviço web, para que a prova não seja encontrada diretamente no cliente
É um post duplicado
Agora ninguém mais lê o site?
A discussão original da notícia foi há pouco mais de uma semana: https://news.ycombinator.com/item?id=38530885
Também há uma refutação posterior da empresa
Polish train maker denies claims its software bricked competitor rolling stock https://news.ycombinator.com/item?id=38570654
Além disso, ontem mesmo houve uma duplicata da 404media que recebeu muitos votos
https://news.ycombinator.com/item?id=38628635
Não posso entrar a cada poucos dias, ler algumas coisas, votar nas que gostei e voltar alguns dias depois?
Venho aqui para ver os comentários
Presumo que, se algo for importante o bastante para eu saber, estará citado diretamente nos comentários
Eu esperava um malware do tipo “se você bater três vezes nesta porta, pode entrar; caso contrário, a porta fica trancada para sempre”
Mas, na prática, era “se estiver geograficamente estacionado na latitude/longitude de uma concorrente, transforma o trem em um tijolo”
Há várias maneiras de colocar backdoors ou easter eggs divertidos no código, mas escolheram um método de abuso realmente trabalhoso e explícito
Havia uma combinação secreta de botões no console da cabine do maquinista e, quando ela era pressionada, o trem era magicamente desbloqueado
Agora foi removida
A forma como negam certas acusações chega ao ponto de implorar por uma investigação adicional
Sou polonês e já trabalhei com esse tipo de gente no passado; aquela declaração tem o cheiro de uma forma de fazer negócios que eu gostaria que já tivesse desaparecido
Mas, pelo visto, ainda está espalhada por aí