想喝咖啡先繳贖金,研究員綁架智慧咖啡機揭 IoT 設備資安隱憂

作者 | 發布日期 2020 年 09 月 29 日 8:30 | 分類 物聯網 , 網路 , 資訊安全 Telegram share ! follow us in feedly


從掃地機器人到燈泡,物聯網設備有許多資安隱憂已不是什麼祕密,最近有研究員也瞄準最新對象:智慧咖啡機。

試想當你一早走入廚房,拿起杯子想沖杯咖啡提神,此時咖啡機突然發出刺耳的蜂鳴聲,噴灑熱水並不斷旋轉研磨機,螢幕顯示出惡魔頭像,打出一行字:想奪回你的咖啡機?先付贖金到以下帳戶。

這正是 Avast 研究員 Martin Hron 近期對價值 250 美元 Smarter 的智慧咖啡機所做的嘗試。儘管綁架咖啡機聽起來毫無意義,但 Hron 是希望透過此次實驗證明一些觀點。

Hron 表示,有網友提出一種說法,即針對 IoT 設備的威脅不僅是路由器問題或暴露於公開網路,而是 IoT 設備本身就很脆弱,即使不靠前兩種手段也能輕鬆入侵。

為了測試這項觀點是否正確,Hron 花了一週進行逆向工程研究,詳細流程已在 Blog 文章講述。簡而言之,Hron 發現咖啡機 Wi-Fi 連結與韌體更新程式的突破口,之後編寫 python 腳本模仿更新程式執行修改後的內容,之後便達成開頭所說的勒索贖金劇碼。

Hron 表示,最初他曾想證明設備可用來挖礦,考慮到 CPU 和結構可行,但在 8MHz 速度下,挖礦產值基本可忽略不計,最後才決定以勒索軟體方式進行,而這項實驗也證明,同樣情況可能發生於所有設備。

「這是一個好例子說明開箱即用產品的問題。你不需要設定任何東西,供應商通常也不會考慮到這點。」

當然,使用者可簡單透過拔掉插頭暫時解決問題,綁架也有一些非常明確的限制,但隱藏的意義更令人擔憂。

Hron 指出,透過入侵,攻擊者可使智慧設備無法接收官方提供的修補程式修復漏洞,也可在不觸發警告下攻擊同網路的其他設備。普通家電的生命週期動輒數十年,但 IoT 設備廠商又計畫維護軟體多久呢?

「……在 IoT 設備普及和不良維護態度下,我們正打造出一支被遺棄、容易受攻擊的隊伍,這些設備可能遭濫用,用來駭入網路、洩漏數據、使用勒索軟體攻擊或 DDoS。」

(首圖來源:pixabay