Da asporto chiave
- I ricercatori sono riusciti a indurre alcuni altoparlanti intelligenti Echo a riprodurre file audio con istruzioni dannose.
- I dispositivi interpretano le istruzioni come comandi di utenti reali, consentendo agli hacker di prendere il controllo.
- Gli hacker possono quindi utilizzare gli altoparlanti compromessi per impossessarsi di altri dispositivi intelligenti e persino intercettare gli utenti.
Nella fretta di rivestire le proprie case di dispositivi intelligenti, molti utenti ignorano i rischi per la sicurezza posti dagli altoparlanti intelligenti, avvertono gli esperti di sicurezza.
Un esempio calzante è la vulnerabilità recentemente patchata in alcuni dispositivi Amazon Echo, che i ricercatori dell'Università di Londra e dell'Università di Catania, in Italia, sono stati in grado di sfruttare e utilizzare per armare questi altoparlanti intelligenti per hackerare se stessi.
"Il nostro attacco, Alexa versus Alexa (AvA), è il primo a sfruttare la vulnerabilità dei comandi arbitrari auto-emessi sui dispositivi Echo", hanno osservato i ricercatori. "Abbiamo verificato che, tramite AvA, gli aggressori possono controllare gli elettrodomestici intelligenti all'interno della famiglia, acquistare oggetti indesiderati, manomettere i calendari collegati e intercettare l'utente."
Fuoco amico
Nel loro articolo, i ricercatori dimostrano il processo di compromissione degli altoparlanti intelligenti inducendoli a riprodurre file audio. Una volta compromessi, i dispositivi potrebbero svegliarsi e iniziare a eseguire comandi emessi dall'attaccante remoto. I ricercatori dimostrano come gli aggressori potrebbero manomettere le applicazioni scaricate sul dispositivo violato, effettuare telefonate, effettuare ordini su Amazon e altro ancora.
I ricercatori hanno testato con successo il meccanismo di attacco su dispositivi Echo Dot di terza e quarta generazione.
È interessante notare che questo hack non dipende da oratori canaglia, il che riduce ulteriormente la complessità dell'attacco. Inoltre, i ricercatori notano che il processo di sfruttamento è piuttosto semplice.
AvA inizia quando il dispositivo Echo inizia lo streaming di un file audio che contiene comandi vocali che ingannano gli altoparlanti facendoli accettare come normali comandi emessi da un utente. Anche se il dispositivo richiede una conferma secondaria per eseguire una particolare azione, i ricercatori suggeriscono un semplice comando "sì" circa sei secondi dopo che la richiesta dannosa è sufficiente per imporre la conformità.
Abilità inutile
I ricercatori dimostrano due strategie di attacco per convincere gli altoparlanti intelligenti a riprodurre la registrazione dannosa.
In uno, l'attaccante avrebbe bisogno di uno smartphone o di un laptop all'interno del raggio di accoppiamento Bluetooth degli altoparlanti. Sebbene inizialmente questo vettore di attacco richieda la vicinanza agli altoparlanti, una volta accoppiati, gli aggressori possono connettersi agli altoparlanti a piacimento, il che dà loro la libertà di condurre l'attacco effettivo in qualsiasi momento dopo l'accoppiamento iniziale.
Nel secondo attacco, completamente remoto, gli aggressori possono utilizzare una stazione radio Internet per fare in modo che Echo riproduca i comandi dannosi. I ricercatori notano che questo metodo implica indurre l'utente preso di mira a scaricare un'abilità Alexa dannosa su Echo.
Chiunque può creare e pubblicare una nuova Skill Alexa, che non richiede privilegi speciali per funzionare su un dispositivo abilitato per Alexa. Tuttavia, Amazon afferma che tutte le competenze inviate vengono controllate prima di essere pubblicate su Alexa Skills Store.
Todd Schell, Senior Product Manager di Ivanti, ha detto a Lifewire via e-mail che la strategia di attacco AvA gli ricorda come gli hacker avrebbero sfruttato le vulnerabilità del Wi-Fi quando questi dispositivi sono stati introdotti per la prima volta, girando per i quartieri con una radio Wi-Fi per entrare nel wireless punti di accesso (AP) utilizzando password predefinite. Dopo aver compromesso un AP, gli aggressori avrebbero cercato maggiori dettagli o avrebbero semplicemente condotto attacchi rivolti verso l'esterno.
"La più grande differenza che vedo con questa ultima strategia di attacco [AvA] è che dopo che gli hacker ottengono l'accesso, possono condurre rapidamente operazioni utilizzando le informazioni personali del proprietario senza molto lavoro", ha affermato Schell.
Schell sottolinea che l'impatto a lungo termine della nuova strategia di attacco di AvA dipenderà dalla rapidità con cui gli aggiornamenti possono essere distribuiti, dal tempo impiegato dalle persone per aggiornare i propri dispositivi e da quando i prodotti aggiornati inizieranno a essere spediti dalla fabbrica.
Per valutare l'impatto di AvA su scala più ampia, i ricercatori hanno condotto un sondaggio su un gruppo di studio di 18 utenti, che ha mostrato che la maggior parte delle limitazioni contro AvA, evidenziate dai ricercatori nel loro articolo, sono poco utilizzate in pratica.
Schell non è sorpreso. "Il consumatore quotidiano non pensa in anticipo a tutti i problemi di sicurezza e di solito si concentra esclusivamente sulla funzionalità."
