Pozrite si
Výskumníci odhalili zraniteľnosť smart reproduktorov série Amazon Echo. Útočník dokáže ovládať cez reproduktor pripojené zariadenia, prinúti ich odomykať dvere, telefonovať, neoprávnene nakupovať, zapínať rúru a ďalšie smart spotrebiče.
Útok prebehne tak, že reproduktor v Echu vydáva hlasové príkazy. Ako zistili vedci z Royal Holloway University v Londýne a talianskej University of Catania, reproduktor sa aktivuje povelom Alexa či Echo, po ňom nasleduje konkrétny príkaz. Tieto zariadenia síce požadujú ústne potvrdenie pred vykonaním citlivých príkazov, tie je ale jednoduché obísť pridaním slova áno do šesť sekúnd po príkaze.
Hekeri teda môžu využiť plnú hlasovú zraniteľnosť tak, že reproduktory Echo zadávajú príkazy, ktoré následne vykonávajú. Teda niečo podobné, ako keď ľudia nahlas rozprávajú čo idú urobiť.
Toto heknutie využíva funkciu Alexa, ktorá mu prikáže, aby si samé vydalo príkazy – vedci ho preto nazvali AvA (Alexa vs Alexa). Stačí len pár sekúnd v blízkosti zapnutého zraniteľného reproduktora a útočník môže vysloviť príkaz, ktorý dá pokyn na bezdrôtové spárovanie so jeho zariadením. Príkazy sa však dajú vykonávať len vtedy, ak neodíde z dosahu Amazon Echo.
Na útok sa využíva Bluetooth vysielač, ktorý generuje príkazy. Vedci potvrdili, že útoky fungujú proti zariadeniam Echo Dot 3. a 4. generácie. Útok začne, keď sa zraniteľné Echo pripojí cez Bluetooth s hekerom. Potom stačí už len používať niektorú z aplikácií na prevodu textu na reč.
Na videu si môžete pozrieť útok AvA. Všetky útoky sú stále uskutočniteľné, okrem tých zobrazených v čase medzi 1:40 a 2:14, tie už Amazon po aktualizácii eliminoval.
Ide o prvú dokázanú zraniteľnosť využívajúcu zraniteľnosť samovoľného vydávania príkazov na zariadeniach Echo, útočník ich dokáže ovládať aj dlhšiu dobu. Vedci v článku píšu: „Touto prácou odstraňujeme potrebu mať externý reproduktor v blízkosti cieľového zariadenia, čím sa zvyšuje celková pravdepodobnosť útoku.“
Medzi možné škodlivé akcie patrí ovládanie ďalších spotrebičov, zavolanie na akékoľvek telefónne číslo, realizovať neoprávnené nakupovanie pomocou účtu obete, manipulácia s prepojeným kalendárom, či dokážu sa získať heslá o osobné údaje.
Zdroj