Toetsenbord met keylogger stuurt data door via Apple's Find My-netwerk
Het Find My-netwerk van Apple voor het terugvinden van verloren en gestolen Apple-apparaten kan ook worden gebruikt voor het versturen van gevoelige informatie door onder meer keyloggers. Om deze mogelijkheid te illustreren ontwikkelde Fabian Bräunlein van Positive Security een proof-of-concept, bestaande uit een USB-toetsenbord met geïntegreerde keylogger en Bluetooth-zender.
Met behulp van het Find My-netwerk kunnen Apple-gebruikers hun apparaten terugvinden, zelfs als deze zijn uitgeschakeld. Het netwerk maakt hiervoor gebruik van GPS-gegevens en Bluetooth-signalen. Apple-apparaten sturen continu Bluetooth-signalen uit, die andere Apple-apparaten kunnen opvangen en doorsturen via het Find My-netwerk.
Gestolen data uploaden via Find My-netwerk
Onderzoekers van Positive Security waarschuwden twee jaar geleden al voor het probleem, dat zij 'Send My' noemen. Ook publiceerden de onderzoekers hun implementatie van deze kwetsbaarheid op GitHub. "Send My stelt je in staat data te uploaden van apparaten zonder internetverbinding door het gebruik van Apple's Find My-netwerk. De data worden uitgestuurd via Bluetooth Low Energy en doorgestuurd door Apple-apparaten in de omgeving", schrijven de onderzoekers op GitHub.Om het probleem verder onder de aandacht te brengen presenteert Bräunlein van Positive Security aan het Duitse c't Magazine nu een hardwarematige proof-of-concept. Deze bestaat uit een ESP32 Bluetooth-zender en een keylogger geïntegreerd in een USB-toetsenbord. Hiermee tonen de onderzoekers aan dat zij toetsaanslagen kunnen onderscheppen en met behulp van Bluetooth-signalen via het Find My-netwerk kunnen doorsturen.
Als ik gewoon thuis al eens om me heen kijk wat er aan blauwtand rommel bij de naaste buren gebruikt wordt....
Ik begin wat te twijfelen aan sommige veiligheidsonderzoekers...
Zie dit scenario: IT guy komt op kantoor om alle keyboards te wisselen voor fancy nieuwe.
Aantal dagen later is het wachtwoord van de eind baas gebruikt om onfrisse zaken te doen....
Of : er komt een nieuwe muis bij een thuis gebruiker, cadeau van zijn werkgever. Een paar dagen later is zijn identiteit gebruikt om aankopen te doen op meerdere websites met zijn eerder ingevoerde creditcards.
De openheid die gaandeweg bij nieuwere versies van BT werd toegevoegd is mede debet eraan dat toetsaanslagen van usb toetsenborden kunnen worden doorgekoppeld.
Adam Curry had het enige jaren geleden in zijn podcast er al over dat je bij alle iphones van 6 en nieuwer in principe denkt dat je precies controle hebt met je instellingen over je telefoon doet maar dat dat niet zo was. En hij switchte op een gegeven moment ook weg van 5c naar oudere nokia met ingebouwd toetsenbord.
https://media.defense.gov/2020/Aug/04/2002469874/-1/-1/0/CSI_LIMITING_LOCATION_DATA_EXPOSURE_FINAL.PDF
Ik begin wat te twijfelen aan sommige veiligheidsonderzoekers...
Dus in jouw ogen is elk lek pas valide als er misbruik van gemaakt wordt?
Dit toont aan dat het kan en dat moet gefixt worden _voor_ er iemand misbruik van maakt.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Chief Information Security Officer
Utrecht heeft jou nodig! Als Chief Information Security Officer speel jij een cruciale rol in de bescherming van de digitale informatie van de gemeente Utrecht. Als geen ander weet jij welke dreigingen er zijn en kun je deze vertalen naar risico's die de gemeente en haar inwoners lopen. Solliciteer nu!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
