El año pasado, cuando Charlie Miller y Chris Valasek demostraron cómo explotar remotamente vulnerabilidades en el modelo Jeep Cherokee 2014 de Chrysler, y manipular sus limpiaparabrisas, radio, motor y frenos (a bajas velocidades), la compañía se vio forzada a confrontar e identificar los problemas.

Sin embargo, su investigación en seguridad en automóviles no terminó ahí, y la pareja tiene programado presentar nuevas técnicas para inyectar mensajes CAN dentro de la red del vehículo en el evento Black Hat USA 2016.

Nuevamente, seleccionaron como objetivo el modelo Jeep Cherokee, pero esta vez las consecuencias potenciales de un ataque exitoso son incluso más atemorizantes, ya que han logrado evadir las restricciones y ahora pueden indicar al vehículo que se detenga o cambie de dirección a cualquier velocidad.

Chrysler ha solucionado la falla que previamente les permitía obtener acceso remoto a los sistemas del automóvil, por lo cual los ataques más recientes sólo pueden realizarse cuando la laptop del atacante está conectada a la red CAN del vehículo por medio del puerto de diagnóstico integrado (OBD, por sus siglas en inglés) localizado bajo el tablero.

No obstante, los investigadores señalan que es cuestión de tiempo hasta que otra vulnerabilidad sea encontrada, permitiendo el acceso remoto y en consecuencia realizar ataques, por esa razón la industria automotriz tiene que probar, atacar y auditar constantemente sus productos en busca de fallas.

Otros investigadores han comenzado a revisar la seguridad en grandes vehículos industriales y han obtenido éxito al controlar la aceleración y frenado de un autobús y un tractor.

Dado que su ataque está basado en la explotación del estándar SAE J1939 usado en toda la industria estadounidense de vehículos pesados, probablemente también funcionará sobre otros vehículos de ese tipo.

Para ejecutarlo, una vez más, el atacante tiene que estar físicamente conectado al puerto OBD del vehículo, aunque los investigadores respaldan las opiniones de Miller y Valasek de que los ataques remotos por internet sólo esperan el descubrimiento de una vulnerabilidad.