White hats laver verdens første ransomware til intelligent termostat

Fremtidens ransomware kan tage temperaturen som gidsel, demonstrerer sikkerhedsforskere.

Betal løsesummen, eller vi skruer temperaturen op til 37 grader. Sådan kan en af fremtidens ransomware-trusler lyde, når intelligente termostater bliver mere udbredte.

To sikkerhedsforskere demonstrerede ved weekendens Def Con-konference, at de kunne overtage en internetopkoblet termostat og holde den som gidsel.

Det skriver Motherboard.

Læs også: Bruce Schneier: Internet of Things vil dræbe i fremtiden

Andrew Tierney og Ken Munros proof-of-concept angriber en svaghed i en bestemt termostat, som sikkerhedsforskerne ikke vil afsløre navnet på, fordi virksomheden endnu ikke har haft mulighed for at lukke hullet.

Forskerparret kunne dog fortælle, at termostaten, der kører Linux, har et SD-kort, der lader brugere konfigurere enheden med blandt andet forskellige baggrunde til et LCD-display. Fordi enheden ikke tjekker, hvilke filer der kører på SD-kortet, kan brugere narres til at downloade og installere malware forklædt som baggrundsbilleder.

Læs også: ZeroDay gør det muligt at highjacke IoT-kameraer fra D-Link over nettet

Tierney og Munro erkender, at angrebsstrategien ikke er den nemmeste, men ikke umulig. For eksempel har mange Android-brugere blevet hacket ved at installere ondsindet software.

Selvom angrebet ikke bliver udbredt i levende live, understreger forskerne med konceptet, at det er muligt at lave ransomware til IoT-enheder som kameraer og køleskabe.

Læs også: Linux CoreOS-udvikler: Hold nallerne fra obskure Internet of Things-gadgets

»Vi har ikke nogen kontrol over vores enheder, og vi ved egentlig ikke, hvad de laver, og hvordan de gør det,« siger Andrew Tierney til Motherboard og fortsætter:

»Du køber ikke bare [Internet of Things-]enheder. Du inviterer folk ind på dit netværk.«

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (5)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
#1 Robert Voje

Jeg er usikker på risici, eftersom jeg har købt flere såkaldte IoT enheder, men de er ikke direkte på Internet, de kommunicerer kun via en bestemt radiofrekvens. Det er mit valg at lade servicen som samler data fra disse enheder være tilgængelig på internet, og som computer nørd gør jeg selvsagt ikke det. Så har vi mormor som har trådløst LAN, og køber et Philips system hvor lyset styres via Internet. Hvad er det vi skal være bange for, er det min service for IoT, eller er det mormors lys? Og hvor stor er risikoen? Vil mormors lys få en public ip og port, eller kører de på lokalnettet, som alt muligt andet vi tilslutter vores LAN. Prøver de sig på uPnP, eller er de forholdsvis harmløse?

Jeg savner detaljer om hvad de forskellige leverandører tror de kan kontrollere. Normalt har jeg sølvpapirhatten på, så jeg kan have overset noget. Har dog endnu ikke købt en IoT lyspære. Har disse et RJ45 stik?

  • 0
  • 0
#2 Niels Dybdahl

Det er sjældent at man laver en helt fejlfri tingest, så producenterne har normalt brug for at opdatere software eller firmware. Dette klares ofte via samme data forbindelse som tingesten bruger til at udveksle data og den protokol kan så igen ofte anvendes til at hacke tingesten. Så selv om din tingest kommunikerer over en speciel radiofrekvens, så kan det alligvel godt være at den frekvens kan bruges til at hacke din tingest.

  • 0
  • 0
#3 Thomas Hedberg

Jeg læste en tweet med en "anmeldelse" af et sæt pærer og en kontrol boks. Sådan frit fra hukommelsen, så var kontrol boksen forbundet til ens alm. netværk og de kommunikerede med pærerne via et trådløst netværk i kontrol boksen. Alt kommunikation imellem pærerne var så vidt jeg husker ukrypteret, så ved at søge efter netværket kunne man fra en almindelig laptop koble på dette netværk og dermed dit interne netværk medmindre du havde segmenteret det.

Jeg husker det som om han var chokeret over hvor ringe sikkerheden i produktet var.

  • 0
  • 0
Log ind eller Opret konto for at kommentere