Aanvaller kan robotstofzuiger door lek gebruiken voor spionage
Onderzoekers hebben in robotstofzuigers van fabrikant Diqee twee kwetsbaarheden ontdekt waardoor een aanvaller het apparaat kan overnemen en de eigenaar op afstand kan bespioneren. De stofzuigers beschikken over wifi, een webcam met nachtzicht en zijn via een smartphone te bedienen.
De eerste kwetsbaarheid maakt het mogelijk voor een aanvaller om op afstand willekeurige code uit te voeren. Door het versturen van een speciaal udp-verzoek is het namelijk mogelijk om commando's met "superuser" rechten uit te voeren, zo stelt securitybedrijf Positive Technologies dat de kwetsbaarheden ontdekte. Om de aanval uit te voeren moet de aanvaller zich wel eerst authenticeren. Volgens de onderzoekers is dit geen echt obstakel, omdat de stofzuigers allemaal dezelfde standaard gebruikersnaam en wachtwoord hebben.
Om de tweede kwetsbaarheid te misbruiken moet een aanvaller fysieke toegang tot de stofzuiger hebben. Dit beveiligingslek bevindt zich in het updatemechanisme van de stofzuiger. Zodra er een microSD-kaart is aangesloten zal het systeem firmwarebestanden vanuit een bepaalde map op de microSD-kaart met superuser-rechten uitvoeren, zonder dat hierbij de digitale handtekening van het bestand wordt gecontroleerd. Een aanvaller kan zodoende een speciaal script laten uitvoeren dat willekeurige code uitvoert, zoals een sniffer die wifi-data van andere apparaten onderschept.
"Net als andere IoT-apparaten kunnen deze robotstofzuigers aan een botnet worden toegevoegd voor het uitvoeren van ddos-aanvallen, maar dat is niet eens het ergste scenario, tenminste voor de eigenaren. Aangezien de stofzuiger over wifi, een webcam met nachtzicht en smartphonebediening beschikt, kan een aanvaller in het geheim de eigenaar bespioneren", aldus de onderzoekers.
Ze waarschuwen dat de kwetsbaarheden mogelijk ook in andere Internet of Things-apparaten aanwezig zijn die dezelfde videomodule als de Diqee-robotstofzuigers gebruiken. Het kan dan gaan om surveillancecamera's, digitale videorecorders en smart deurbellen. De onderzoekers vermelden niet of de gevonden kwetsbaarheden zijn verholpen.
Nou ja behalve het afwassen dan ;-)
Nou ja behalve het afwassen dan ;-)
Dat doet de vrouw dan ;-)
Nou ja behalve het afwassen dan ;-)
Dat doet de vrouw dan ;-)
Nou mooi niet!
Mijn zus en ik hebben in die jaren heel wat in de keuken gestaan om de vaat te doen (voor een gezin met totaal 8 personen). Moeder wist dat prima te delegeren en dit werk werd als heel normaal beschouwd. Elke avond, vaste prik! De overige kinderen waren nog te klein.
En ik weet dat we niet de enigen waren.
Toch hebben we er niet echt onder geleden, er waren andere dingen die (in een gezin) veel vervelender (of zelfs zeer ernstig) waren...
Net als met automatische gordijnen: het hoeft niet op internet.
Het wordt vanzelf licht en weer donker en er bestaan lichtsensoren die dit aan een (micro)controller kunnen doorgeven
en dan regelt de onafhankelijke software wel wanneer ze (ongeveer) open en dicht gaan.
Ook een tijdelijk plotselinge donkere lucht hoeft weinig of geen invloed te hebben.
Voor wat betreft afwassen/afdrogen: op kantoor had ik er best plezier in.
Het is zoals met al dit soort dingen, hoe saai het ook is, maak er een feestje van.
Als je het daar niet mee eens bent, vraag je dan eens af of je een stofzuiger zou accepteren waarbij een substantieel deel van de luchtstroom niet door de slang loopt omdat de fabrikant te incompetent is om lekken te voorkomen. Zeg je dan tegen jezelf dat je maar niet zo stom had moeten zijn om een slecht produkt te kopen of had je mogen verwachten dat dat ding het behoorlijk doet? Als je vindt dat je als klant iets mag verwachten, vraag je dan eens af waarom dat niet voor het ICT-deel van een produkt zou gelden.
In zulke gevallen koop je en/of gebruik je het niever niet aan het Internet gehangen. Dan is het gebruik van "slimme"apparaten eigenlijk oliedom, zowel in veiligheidsopzicht of als je privacy je lief is.
Maar dat laatste, de privacybescherming, is eigenlijk al de das omgedaan- als ik naar de HTM klantenservice site ga en er vervolgens 62 trackingverzoeken van die site moeten worden verhinderd.
We moeten komen tot hardware-matige totaal IoT beveiligingsoplossing. Die zijn er al voor USA en Israel, maar nog niet hier gearriveerd. Voorlopig liggen bij Google de beveiligingsafdeling en de advertentie core-business afdeling nog flink met elkaar in de clinch en naar schijnt heeft de advertentiepoot het laatste woord.
luntrus
Daarom Anoniem van 19:47 zal je wens wel een wensdroom blijven, die biljoen keer biljoen keer biljoen IPv6 adressen moeten toch toegekend worden, de matrix zal en moet worden opgetuigd, de globalist wacht erop. Maak je dus geen illusies.
luntrus
luntrus
Interessante vraag. Hieronder stukje over de reden achter de webcam, op dit soort robots ;)
---
While some high-end robotic vacuums, like the iRobot Roomba 980, use a camera to help them navigate their surroundings, the Diqee uses a camera to turn the device into a surveillance system. The idea is, as the vacuum charges its batteries or drives around your home to clean the carpets, you can remotely view the camera feed to check in on your property.
https://www.gearbrain.com/robotic-vacuum-cleaner-camera-hack-2588365462.html
---
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
