Un Google Chromecast Ultra.Photo: Gizmodo
Les pirates ont découvert un bug qui permet aux pirates de prendre le contrôle de Google Chromecast de diffusion multimédia en continu joueur, rendant possible de forcer l’appareil en “lecture d’une vidéo YouTube qu’ils veulent, y compris des vidéos qui sont faites sur mesure,” TechCrunch a rapporté mercredi.
Le bug exploits un cas bien connu de la vulnérabilité (les routeurs qui n’ont Universal Plug-and-Play [UPnP] est activé par défaut, exposant les périphériques sur un réseau et le web en général) ainsi que d’un défaut apparent dans le Chromecast, qui permet à toute personne en mesure d’accéder à l’appareil de “détourner le flux des médias et afficher ce qu’ils veulent”, sans authentification, TechCrunch a écrit. Le site ajouté le dernier bug a été connu pendant des années après qu’il fut découvert par des chercheurs en sécurité:
Mgr Renard, un cabinet de conseil en sécurité, tout d’abord trouvé le bug en 2014, peu de temps après le Chromecast a fait ses débuts. Les chercheurs ont constaté qu’ils pouvaient mener une “deauth” attaque qui déconnecte le Chromecast à partir du réseau Wi-Fi il était connecté, le faisant revenir à son out-of-the-box de l’état, l’attente d’un appareil afin de lui indiquer où se connecter et de ce flux. C’est à ce moment qu’il peut être détourné et forcé de flux quel que soit le pirate veut. Tout cela peut être fait dans un instant — comme ils l’ont fait avec un simple toucher d’un bouton sur un custom-built télécommande portative.
Deux ans plus tard, royaume-uni, la cybersécurité cabinet Pen Test de Partenaires découvert que le Chromecast est toujours vulnérable “deauth”, les attaques, le rendant facile à lire le contenu sur un voisin Chromecasts en seulement quelques minutes.
Selon TechCrunch, cette vulnérabilité a été découverte par le hacker connu comme Hacker Girafe et utilisé la technique de force des milliers de Chromecasts à la lecture d’une vidéo d’avertissement que “VOTRE Chromecast/Smart TV est exposé à l’internet public et est d’exposer des informations sensibles sur vous!” Hacker Girafe n’a fournir une URL pour les affligés, les utilisateurs pour en savoir plus sur l’UPnP de la vulnérabilité, ainsi que rapidement le rendre inutilisable:
Désactiver l’UPnP sur votre routeur, et si vous êtes à la redirection de port ports 8008/8443/8009 alors ARRÊTER de les transmettre.
Hacker Girafe a également dirigé les gens à s’abonner à Felix “PewDiePie” Kjellberg—une star de YouTube et vivaces edgelord. (La personne derrière le pseudonyme également pris de crédit pour détournement de dizaines de milliers d’imprimantes plus tôt cette année à cracher un message dans la partie, “PewDiePie est en difficulté et il a besoin de votre aide pour vaincre la Série T!”)
TechCrunch a noté que l’exploit pourrait être utilisé pour tirer une série complexe d’attaques, telles que jouer à des commandes vocales assez haut pour être entendu par un smart speaker et donc de jouer avec l’un des comptes connectés ou des périphériques.
Que Gizmodo l’a signalé précédemment, “UPnP a une longue expérience d’être compromis par des pirates, souvent en exposant les périphériques à internet qui ne devrait être visible localement. [Réseau de livraison de contenu] Akamai déclaré cet été que l’UPnP a été utilisé par les pirates pour dissimuler le trafic dans un ” organisée et abus généralisé de la campagne.’” Une récente attaque à l’aide d’un UPnP vulnérabilité constituée EternalBlue, une Agence Nationale de Sécurité développé l’exploitation de cette fuite en 2017.
Dans une déclaration à TechCrunch, Google a reconnu qu’il avait reçu des rapports de la vidéo popping up sur Chromecasts, mais a affirmé: “Ce n’est pas un problème avec Chromecast, mais est plutôt le résultat de paramètres du routeur que rendre les appareils intelligents, y compris Chromecast, publiquement accessible.”
[TechCrunch]
Partager Cette Histoire