White hats laver verdens første ransomware til intelligent termostat

8. august 2016 kl. 11:555
Fremtidens ransomware kan tage temperaturen som gidsel, demonstrerer sikkerhedsforskere.
Artiklen er ældre end 30 dage
Manglende links i teksten kan sandsynligvis findes i bunden af artiklen.

Betal løsesummen, eller vi skruer temperaturen op til 37 grader. Sådan kan en af fremtidens ransomware-trusler lyde, når intelligente termostater bliver mere udbredte.

To sikkerhedsforskere demonstrerede ved weekendens Def Con-konference, at de kunne overtage en internetopkoblet termostat og holde den som gidsel.

Det skriver Motherboard.

Andrew Tierney og Ken Munros proof-of-concept angriber en svaghed i en bestemt termostat, som sikkerhedsforskerne ikke vil afsløre navnet på, fordi virksomheden endnu ikke har haft mulighed for at lukke hullet.

Artiklen fortsætter efter annoncen

Forskerparret kunne dog fortælle, at termostaten, der kører Linux, har et SD-kort, der lader brugere konfigurere enheden med blandt andet forskellige baggrunde til et LCD-display. Fordi enheden ikke tjekker, hvilke filer der kører på SD-kortet, kan brugere narres til at downloade og installere malware forklædt som baggrundsbilleder.

Tierney og Munro erkender, at angrebsstrategien ikke er den nemmeste, men ikke umulig. For eksempel har mange Android-brugere blevet hacket ved at installere ondsindet software.

Selvom angrebet ikke bliver udbredt i levende live, understreger forskerne med konceptet, at det er muligt at lave ransomware til IoT-enheder som kameraer og køleskabe.

»Vi har ikke nogen kontrol over vores enheder, og vi ved egentlig ikke, hvad de laver, og hvordan de gør det,« siger Andrew Tierney til Motherboard og fortsætter:

»Du køber ikke bare [Internet of Things-]enheder. Du inviterer folk ind på dit netværk.«

5 kommentarer.  Hop til debatten
Denne artikel er gratis...

...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.

Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.

Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.

Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.

Debatten
Log ind eller opret en bruger for at deltage i debatten.
settingsDebatindstillinger
5
15. august 2016 kl. 11:43

Ha ha.

Har de lige set Mr. Robot..? (HBO)

Har du ikke set Mr. Robot, så ofrer gerne pengene til en måneds HBO abonnement på at se den. Kan anbefales.

4
13. august 2016 kl. 21:21

Og folk kan selvfølgelig ikke bare pille termostaten af :-) Og nulstille den.

Bortset fra det, endnu et eksempel på at IoT producenter ikke just er på forkant med sikkerheden.

3
9. august 2016 kl. 12:32

Jeg læste en tweet med en "anmeldelse" af et sæt pærer og en kontrol boks. Sådan frit fra hukommelsen, så var kontrol boksen forbundet til ens alm. netværk og de kommunikerede med pærerne via et trådløst netværk i kontrol boksen. Alt kommunikation imellem pærerne var så vidt jeg husker ukrypteret, så ved at søge efter netværket kunne man fra en almindelig laptop koble på dette netværk og dermed dit interne netværk medmindre du havde segmenteret det.

Jeg husker det som om han var chokeret over hvor ringe sikkerheden i produktet var.

2
8. august 2016 kl. 22:26

Det er sjældent at man laver en helt fejlfri tingest, så producenterne har normalt brug for at opdatere software eller firmware. Dette klares ofte via samme data forbindelse som tingesten bruger til at udveksle data og den protokol kan så igen ofte anvendes til at hacke tingesten. Så selv om din tingest kommunikerer over en speciel radiofrekvens, så kan det alligvel godt være at den frekvens kan bruges til at hacke din tingest.

1
8. august 2016 kl. 18:10

Jeg er usikker på risici, eftersom jeg har købt flere såkaldte IoT enheder, men de er ikke direkte på Internet, de kommunicerer kun via en bestemt radiofrekvens. Det er mit valg at lade servicen som samler data fra disse enheder være tilgængelig på internet, og som computer nørd gør jeg selvsagt ikke det. Så har vi mormor som har trådløst LAN, og køber et Philips system hvor lyset styres via Internet. Hvad er det vi skal være bange for, er det min service for IoT, eller er det mormors lys? Og hvor stor er risikoen? Vil mormors lys få en public ip og port, eller kører de på lokalnettet, som alt muligt andet vi tilslutter vores LAN. Prøver de sig på uPnP, eller er de forholdsvis harmløse?

Jeg savner detaljer om hvad de forskellige leverandører tror de kan kontrollere. Normalt har jeg sølvpapirhatten på, så jeg kan have overset noget. Har dog endnu ikke købt en IoT lyspære. Har disse et RJ45 stik?