黑客劫持了成千上万的Chromecasts,以警告最新的安全漏洞-王其杉博客|程序员|科技新闻
黑客劫持了数千台暴露在外的Chromecast流媒体设备,警告用户最新的安全漏洞会影响到该设备。但其他安全研究人员说,如果不加以纠正,这个漏洞可能被用于更具破坏性的攻击。
罪魁祸首,被称为黑客长颈鹿和J3WS3R,已经成为最新的人,以了解如何欺骗谷歌的媒体流媒体播放任何YouTube视频,他们想要-包括定制视频。这一次,黑客劫持迫使受影响的Chromecasts显示一个弹出通知,可在连接的电视上看到,警告用户,他们的错误配置的路由器将他们的Chromecast和智能电视暴露给像他们一样的黑客。
没有人会浪费这个机会,黑客们还要求你订阅Pewdiepie,一个糟糕的互联网用户,有一个很受欢迎的YouTube粉丝。(他是同一个黑客,他欺骗了数千台暴露在外的打印机来支持Pewdiepie。)
这个名为Casthack的bug利用了Chromecast和它所连接的路由器的弱点。一些家庭路由器已经启用了通用即插即用(UPNP),这是一种网络标准,可以通过多种方式加以利用。UPNP将内部网络的端口转发到Internet,使Chromecast和其他设备可以从Internet上的任何位置查看和访问。
正如他们所说,禁用UPNP应该可以解决问题。
一位谷歌发言人告诉TechCrunch:“我们已经收到用户的报告,他们通过Chromecast设备在电视上播放了未经授权的视频。”发言人说:“这不是Chromecast的具体问题,而是路由器设置的结果,使包括Chromecast在内的智能设备能够公开访问。”
一方面,这是正确的,但它没有解决根本问题——Chromecast可能被欺骗,允许未经认证的攻击者劫持媒体流并显示他们想要的任何内容。
黑客长颈鹿将这段YouTube视频发送到数千台暴露在外的Chromecast设备上,警告他们的流很容易被劫持。(屏幕截图:TechCrunch)
安全咨询公司Bishop Fox,在Chromecast发布后不久,于2014年首次发现了一个劫持漏洞。研究人员发现,他们可以进行一次“deauth”攻击,将Chromecast与所连接的Wi-Fi网络断开连接,使其恢复到“开箱即用”状态,等待一个设备告诉它连接的位置和传输的内容。就在那时,它可以被劫持,并被迫流任何劫机者想要的。所有这些都可以在一瞬间完成——就像他们做的那样——只需点击一个定制的手持遥控器上的按钮。
两年后,英国网络安全公司pen test partners发现chromecast仍然容易受到“deauth”攻击,这使得在几分钟内就可以轻松地在邻居的chromecast上播放内容。
Ken Munro创立了Pen Test Partners,他说,“如果有人偶然发现了它,这并不奇怪”,因为Bishop Fix在2014年发现了它,而他的公司在2016年测试了它。
蒙罗对TechCrunch说:“公平地说,我们从来没有想过这项服务会在公共互联网上曝光,所以这是一个非常有效的发现,他对此完全有信心。”(谷歌在一封后续邮件中说,它正在努力修复DeAuth的漏洞。)
他说,发动攻击的方式不同,但剥削的方法是相同的。Casthack可以在互联网上被利用,而Bishop Fox和他的“DeAuth”攻击可以在Wi-Fi网络范围内进行,但这两种攻击都让黑客控制Chromecast在电视上显示的内容,他说。
蒙罗说,谷歌应该在2014年第一次有机会的时候修复它的bug。
他说:“允许在没有认证的情况下控制本地网络,这对(谷歌)来说真是一个愚蠢的想法。”“因为用户会做一些愚蠢的事情,比如在互联网上暴露他们的电视,黑客会发现服务中可以被利用的漏洞。”
但蒙罗说,这些攻击-尽管表面上令人讨厌和侵扰-可能被利用,以产生更多的恶意后果。
蒙罗星期三在一篇博客文章中说,劫持一个Chromecast并强迫它播放足以被它的麦克风接收的命令,很容易利用其他智能家居设备,比如亚马逊Echo。以前,当聪明的助手在电视或收音机上无意中听到这些话时,他们会感到困惑,然后突然毫无预警地从亚马逊购买商品。(您可以并且应该打开一个PIN码,以便通过Amazon订购。)
举几个例子,蒙罗说,有可能迫使Chromecast加载一个由攻击者创建的YouTube视频,以欺骗回声:“Alexa,订购iPad,”或者“Alexa,关闭家庭警报”,或者“Alexa,每天凌晨3点设置警报”。
亚马逊Echos和其他智能设备被广泛认为是安全的,即使它们很容易偷听不该偷听的东西。通常,最薄弱的环节是人类。其次,Munro在他的博客中说,智能家居助理周围的其他设备构成了最大的风险。最近,加拿大安全研究人员render man展示了如何在窗户上使用声音传感器来欺骗附近的亚马逊回声,从而解锁前面连接网络的智能锁。房子的门。
“谷歌需要正确修复Chromecast DeAuth的漏洞,该漏洞允许YouTube流量的传输,”Munro说。
在东部时间晚上9点更新了一个新的,更清晰的标题,以更好地反映这些年来的缺陷,并增加了谷歌的额外评论。
聪明的家庭技术制造商不想说联邦调查局是不是要你的数据