IT-sikkerhetsselskapet Check Point kom i går med en rapport hvor selskapet opplyser at det for en tid tilbake fant en sårbarhet infrastrukturen til LGs SmartThinQ som kan gi uvedkommende tilgang til brukernes legitime konto.
Digital, men sårbar vakthund
Fra denne kunne angriperen ta kontroll over alle smarthusenheter som er knyttet til kontoen, inkludert støvsugeren Hom-Bot som har innebygd videokamera. LG skal ha solgt over en million slike støvsugere.
Hom-Bot er nemlig ikke bare en støvsuger, men kan også fungere som en elektronisk vakthund som varsler eieren når den registrerer bevegelser. Da kan eierne, eller angriperne, se hva som skjer gjennom direktesendt video til en tilhørende mobilapplikasjon.
Sårbarheten som Check Point oppdaget, eksisterte i prosessen hvor brukeren logger seg inn på kontoen med SmartThinQ-appen.
Tingenes internett: Et gode, men også trussel mot nasjonen
Omgikk sikkkerheten
Ved å dekompilere appen, greide sikkerhetsforskerne å finne både en anti-root-mekanisme og en mekanisme som krever at visse sertifikater blir brukt (SSL pinning) i forbindelse med krypteringen av trafikken. Ved å fjerne denne koden og deretter kompilere appen på nytt, var det mulig for sikkerhetsforskerne å avskjære trafikken mellom appen og LGs server.
Innloggingsprosessen bestod av flere trinn, men på grunn av manglende avhengighet mellom flere av trinnene var det mulig å starte innloggingsprosessen ved å oppgi brukernavnet og passordet til angripernes egen konto, for så å bytte brukernavnet før de neste trinnene ble utført. Dette gjorde det mulig for sikkerhetsforskerne å komme seg inn på offerets konto.
Check Point varslet LG om sårbarheten den 31. juli i år. Sårbarheten ble fjernet i en oppdatert utgave av SmartThinQ-appen til både Android og iOS (V1.9.23) i slutten av september.
Venter flere angrep
Både styringsprogramvare, i dette tilfellet mobilappen, og smarthusenhetenes egen programvare kan ha sårbarheter. Check Point anbefaler derfor at brukerne jevnlig sjekker om det har kommet oppdateringer og installerer disse.
– Flere og flere smarte enheter brukes nå i hjemmene, og hackere vil flytte fokus fra å ha enkeltenheter som mål, til å hacke appene som kontrollerer enhetenes nettverk, sier Oded Vanunu, leder for produktsikkerhetsforskning hos Check Point, i en uttalelse.
– Dette gir nettkriminelle enda flere muligheter til å utnytte programvarefeil, skape avbrudd hjemme hos brukerne og ha tilgang til sensitive opplysninger. Brukerne må være klar over sikkerhets- og personvernsrisikoer når de bruker IoT-enhetene sine. Det er essensielt at IoT-produsenter fokuserer på å beskytte smartenheter mot angrep ved å implementere motstandsdyktig sikkerhet når man utvikler programvare og enheter, framfor å legge til sikkerhet i ettertid, som en ettertanke, sier Vanunu.
