IBM: crimineel kan door versturen van Raspberry Pi bedrijf aanvallen
Criminelen kunnen wifi-netwerken van bedrijven aanvallen door een Raspberry Pi of andere single board computer via de post naar hen toe te sturen, zo waarschuwt IBM in een blogposting. De aanvallen zouden zowel gericht tegen de netwerken als hun gebruikers kunnen zijn.
In het verleden hebben zich verschillende voorbeelden voorgedaan waarbij aanvallers het op het wifi-netwerk van een organisatie hadden voorzien. Vorig jaar werd bekend dat de MIVD een aanval had verstoord die tegen het draadloze netwerk van de Organisatie voor het Verbod op Chemische Wapens (OPCW) in Den Haag was gericht. In 2007 werden via een onbeveiligd wifi-netwerk 94 miljoen creditcardgegevens bij winkelketen TJX gestolen.
In beide gevallen waren de aanvallers in de buurt van hun doelwit. Door een minicomputer per post te versturen is dat niet meer nodig, aldus IBM. Een minicomputer met accu en 3G-verbinding maakt het mogelijk om op afstand dergelijke wifi-aanvallen uit te voeren. Zo kan er worden geprobeerd om het wachtwoord van het wifi-netwerk te kraken of een kwaadaardig wifi-netwerk op te zetten waarmee medewerkers van de betreffende organisatie verbinding maken. Op deze manier kunnen ook inloggegevens worden verkregen.
Zodra de aanvaller toegang tot het wifi-netwerk van de aangevallen organisatie heeft kan die proberen om andere systemen aan te vallen. Om dergelijke aanvallen te voorkomen adviseert IBM om medewerkers geen persoonlijke post naar het kantoor te laten sturen, pakketjes net zo te behandelen als bezoekers, inkomende pakketten te controleren en personeel te onderwijzen om alleen met vertrouwde wifi-netwerken verbinding te maken. Tevens raadt IBM aan om in bedrijfsomgevingen geen preshared keys te gebruiken en dat de signaalsterkte van het wifi-netwerk niet als beveiligingsmaatregel moet worden gezien.
Update
De aanval die IBM demonstreert is niet nieuw. Zes jaar geleden in 2013 demonstreerden onderzoekers David Maynor en Robert Graham al een soortgelijke aanval waarbij ze een telefoon gebruikten. Een jaar later in 2014 kwam onderzoeker Larry Pesce op het idee om een Raspberry Pi per post te versturen.
Echter inderdaad, WiFi toegang tot een LAN dat moet je gewoon niet doen. Maak gerust een WiFi netwerk maar
hang het aan internet, en laat je medewerkers er op inloggen alsof ze thuis zitten (met 2nd factor authenticatie en zo).
https://nl.wikipedia.org/wiki/Minicomputer
Als mensen dit na proberen te doen met een Raspberry Pi, blijkt dat het niet werkt, omdat de accu leeg is voordat het pakketje bij de ontvanger is. ;-)
Peter
Om iets minder in de gaten te lopen zou ik het wel inbouwen in een leuke gift set. Liefst iets wat men op kantoor bewaart en niet mee naar huis wil nemen.
alleen dan beetje jammer van de kop toch?:
IBM: crimineel kan door versturen van Raspberry Pi bedrijf aanvallen
Je bent pas een baas als je dit met een ESP8266 doet.
alleen dan beetje jammer van de kop toch?:
IBM: crimineel kan door versturen van Raspberry Pi bedrijf aanvallen
Dat noemen ze dan clickbait.
Er wordt te vaak gedacht dat je tegen alles bestand moet zijn en daardoor wordt de wereld op een hoop kosten en
ellende gejaagd. Echter 100% goed tegen saboteurs en vandalen krijg je het toch niet.
Waarom moet mijn systeem voortdurend met de handrem erop rijden om te wapenen tegen een of ander puur theoretisch
lek zoals die de laatste tijd populair zijn bij de academici (van de categorie Spectre)?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
