Key takeaways
- Forskere har klart å lure noen Echo-smarthøyttalere til å spille av lydfiler med ondsinnede instruksjoner.
- Enhetene tolker instruksjonene som kommandoer fra ekte brukere, slik at hackere kan ta kontroll.
- Hackere kan deretter bruke de hackede høyttalerne til å overta andre smarte enheter og til og med avlytte brukerne.
I hastverket med å forsyne hjemmene sine med smartenheter, ignorerer mange brukere sikkerhetsrisikoen som smarthøyttalere utgjør, advarer sikkerhetseksperter.
Et eksempel er den nylig korrigerte sårbarheten i enkelte Amazon Echo-enheter, som forskere fra University of London og University of Catania, Italia, var i stand til å utnytte og bruke til å våpengjøre disse smarte høyttalerne til å hacke seg selv.
"Angrepet vårt, Alexa versus Alexa (AvA), er det første som utnytter sårbarheten til selvutstedende vilkårlige kommandoer på Echo-enheter," bemerket forskerne. "Vi har bekreftet at, via AvA, kan angripere kontrollere smarte apparater i husholdningen, kjøpe uønskede gjenstander, tukle med tilknyttede kalendere og avlytte brukeren."
Friendly Fire
I papiret deres demonstrerer forskerne prosessen med å kompromittere smarthøyttalerne ved å få dem til å spille av lydfiler. Når de er kompromittert, kan enhetene vekke seg selv og begynne å utføre kommandoer utstedt av den eksterne angriperen. Forskerne demonstrerer hvordan angripere kunne tukle med applikasjoner lastet ned på den hackede enheten, foreta telefonsamtaler, legge inn bestillinger på Amazon og mer.
Forskerne testet angrepsmekanismen vellykket på både tredje og fjerde generasjons Echo Dot-enheter.
Interessant nok er dette hacket ikke avhengig av useriøse høyttalere, noe som ytterligere reduserer kompleksiteten til angrepet. Dessuten bemerker forskerne at utnyttelsesprosessen er ganske enkel.
AvA starter når Echo-enheten begynner å strømme en lydfil som inneholder talekommandoer som lurer høyttalerne til å godta dem som vanlige kommandoer utstedt av en bruker. Selv om enheten ber om en sekundær bekreftelse for å utføre en bestemt handling, foreslår forskerne en enkel "ja"-kommando omtrent seks sekunder etter at den ondsinnede forespørselen er nok til å håndheve overholdelse.
Useless Skill
Forskerne demonstrerer to angrepsstrategier for å få smarthøyttalerne til å spille av det ondsinnede opptaket.
I den ene ville angriperen trenge en smarttelefon eller bærbar PC innenfor høyttalernes Bluetooth-paringsområde. Selv om denne angrepsvektoren krever nærhet til høyttalerne i utgangspunktet, kan angriperne koble seg til høyttalerne når de vil, når de er paret, noe som gir dem friheten til å utføre selve angrepet når som helst etter den første paringen.
I det andre, fullstendig eksterne angrepet, kan angriperne bruke en internettradiostasjon for å få Echo til å spille av de ondsinnede kommandoene. Forskerne legger merke til at denne metoden innebærer å lure den målrettede brukeren til å laste ned en ondsinnet Alexa-ferdighet til Echo.
Alle kan opprette og publisere en ny Alexa-ferdighet, som ikke trenger spesielle privilegier for å kjøre på en Alexa-aktivert enhet. Amazon sier imidlertid at alle innsendte ferdigheter blir kontrollert før de publiseres i Alexa skills-butikken.
Todd Schell, Senior Product Manager hos Ivanti, fort alte Lifewire via e-post at AvA-angrepsstrategien minner ham om hvordan hackere ville utnytte WiFi-sårbarheter da disse enhetene først ble introdusert, og kjørte rundt i nabolag med en WiFi-radio for å bryte seg inn i trådløst nettverk. tilgangspunkter (AP) som bruker standardpassord. Etter å ha kompromittert et AP, ville angriperne enten jakte rundt etter flere detaljer eller bare utføre utadvendte angrep.
"Den største forskjellen jeg ser med denne siste [AvA]-angrepsstrategien er at etter at hackerne har fått tilgang, kan de raskt utføre operasjoner ved å bruke eierens personlige opplysninger uten mye arbeid," sa Schell.
Schell påpeker at den langsiktige effekten av AvAs nye angrepsstrategi vil avhenge av hvor raskt oppdateringer kan distribueres, hvor lang tid det tar folk å oppdatere enhetene sine, og når de oppdaterte produktene begynner å sendes fra fabrikken.
For å vurdere effekten av AvA i større skala, gjennomførte forskerne en undersøkelse på en studiegruppe på 18 brukere, som viste at de fleste begrensningene mot AvA, fremhevet av forskerne i deres artikkel, nesten ikke brukes. i praksis.
Schell er ikke overrasket. "Den daglige forbrukeren tenker ikke på alle sikkerhetsproblemene på forhånd og fokuserer vanligvis utelukkende på funksjonalitet."
