Na quinta-feira passada, o CEO da HP, Enrique Lores, abordou a polêmica prática da empresa de bloquear impressoras quando os usuários as carregam com tinta de terceiros. Falando com Televisão CNBCele disse: “Vimos que você pode incorporar vírus nos cartuchos. Através do cartucho, (o vírus pode) ir para a impressora, (e depois) da impressora, ir para a rede.”
Esse cenário assustador poderia ajudar a explicar por que a HP, que foi atingida este mês por outro ação judicial sobre seu sistema Dynamic Securityinsiste em implantá-lo em impressoras.
Para investigar, procurei o editor sênior de segurança da Ars Technica, Dan Goodin. Ele me disse que não sabia de nenhum ataque usado ativamente na natureza que fosse capaz de usar um cartucho para infectar uma impressora.
Goodin também faça a pergunta ao Mastodontee os profissionais de segurança cibernética, muitos deles com experiência em hacking de dispositivos incorporados, estavam decididamente céticos.
Evidência da HP
Não é novidade que a afirmação de Lores vem de pesquisas apoiadas pela HP. O programa de recompensas por bugs da empresa encarregou os pesquisadores do Bugcrowd de determinar se é possível usar um cartucho de tinta como uma ameaça cibernética. A HP argumentou que os chips microcontroladores dos cartuchos de tinta, usados para se comunicar com a impressora, poderiam ser uma porta de entrada para ataques.
Conforme detalhado em um Artigo de 2022 da empresa de pesquisa Actionable Intelligence, um pesquisador do programa encontrou uma maneira de hackear uma impressora por meio de um cartucho de tinta de terceiros. O pesquisador não conseguiu realizar o mesmo hack com um cartucho HP.
Shivaun Albright, tecnólogo-chefe de segurança de impressão da HP, disse na época:
Albright acrescentou que o malware “permaneceu na memória da impressora” depois que o cartucho foi removido.
A HP reconhece que não há evidências de tal invasão ocorrendo em estado selvagem. Ainda assim, como os chips usados em cartuchos de tinta de terceiros são reprogramáveis (seu “código pode ser modificado por meio de uma ferramenta de redefinição no local”, de acordo com a Actionable Intelligence), eles são menos seguros, diz a empresa. Diz-se que os chips são programáveis para que ainda possam funcionar nas impressoras após atualizações de firmware.
A HP também questiona a segurança das cadeias de abastecimento de empresas de tinta de terceiros, especialmente em comparação com a segurança da sua própria cadeia de abastecimento, que é Certificado ISO/IEC.
Portanto, a HP encontrou uma maneira teórica de hackear cartuchos, e é razoável que a empresa emita uma recompensa por bug para identificar tal risco. Mas a sua solução para esta ameaça foi anunciada antes mostrou que poderia haver uma ameaça. A HP adicionou treinamento em segurança de cartuchos de tinta ao seu programa de recompensas por bugs em 2020, e a pesquisa acima foi lançada em 2022. A HP começou a usar o Dynamic Security em 2016, aparentemente para resolver o problema que procurou provar que existia anos depois.
