Weer zijn onderzoekers erin geslaagd om de Amazon Echo in een afluisterapparaat te veranderen. Onderzoekers van het bedrijf Checkmarx ontwikkelden hiervoor een kwaadaardige Echo-applicatie. Nadat de Echo via het commando "Alexa" is geactiveerd stopt het normaal na een bepaalde tijd met luisteren.

De applicatie van de onderzoekers wist dit echter te omzeilen, zodat er continu geluisterd werd. Alexa maakt gebruik van zogeheten "reprompts" om een sessie na het versturen van een antwoord open te houden als de gebruiker geen antwoord geeft. Alexa vraagt in dit geval aan de gebruiker om de opdracht te herhalen. De onderzoekers wisten in hun applicatie echter de reprompt-feature te vervangen door lege reprompts, zodat er een nieuwe luistercyclus start zonder dat de gebruiker dit doorheeft.

Vervolgens verwerkte de applicatie alle opgenomen audio tot een tekstbestand en stuurde die door naar de onderzoekers. Echo-applicaties (ook wel "Skills" genoemd) werken het beste als ze geconfigureerd zijn om een bepaalde zinsopbouw te accepteren met placeholders voor bepaalde waardes, zoals kleur, plekken of filmnamen. Het lukte de onderzoekers echter om de Echo willekeurige zinnen te laten accepteren die niet beperkt werden door een vaste woordenlijst.

Ook met de kwaadaardige app is het zichtbaar wanneer de Echo is ingeschakeld, maar de onderzoekers stellen dat het apparaat vaak ergens in de hoek staat. Het zou dan ook niet direct duidelijk voor gebruikers zijn dat de Echo nog aan het luisteren is. De onderzoekers hebben niet geprobeerd om de kwaadaardige app in de Amazon Store te uploaden, maar denken, mede na overleg met Amazon, dat die wel door het bedrijf zou zijn goedgekeurd, zo laten ze aan Threatpost weten.

Na te zijn ingelicht heeft Amazon op 10 april een update uitgebracht om de aanvalsvector te verhelpen. Hieronder een videodemonstratie van de kwetsbaarheid. Vorig jaar demonstreerden onderzoekers ook al verschillende aanvallen tegen de Echo waardoor die in een afluisterapparaat was te veranderen.