En Google-Chromecast Ultra.Foto: Gizmodo
Hackere har opdaget en bug, der gjorde det muligt for angribere at overtage kontrollen over Googles Chromecast streaming af media player, der gør det muligt at tvinge enheden til at “lege enhver YouTube-video, som de ønsker, herunder videoer, der er custom-made,” TechCrunch rapporteret på onsdag.
Fejlen udnytter en kendt sårbarhed (routere, der har Universal Plug and Play [UPnP] er aktiveret som standard, og udsætter enheder på et netværk til en bredere web) samt en tilsyneladende fejl i Chromecast ‘ s design, der gør nogen i stand til at få adgang til enheden for at “kapre stream medier og vise, hvad de vil”, uden godkendelse, TechCrunch skrev. Stedet tilføjet den sidste fejl har været kendt i årevis, efter det blev opdaget af sikkerhedseksperter:
Biskop Fox, en sikkerhed konsulentvirksomhed, som først fandt fejl i 2014, ikke længe efter Chromecast debuterede. Forskerne fandt, at de kunne foretage en “deauth” angreb, der afbryder Chromecast fra Wi-Fi-netværk, det blev tilsluttet, får det til at vende tilbage til sin out-of-the-box stat, der venter på en enhed til at fortælle det, når du skal slutte, og hvad der skal streames fra. Det er, når det kan blive kapret og tvunget til at streame uanset hijacker ønsker. Alt dette kan gøres på et øjeblik, som de gjorde — med et tryk på en knap på en brugerdefineret indbygget håndholdte fjernbetjening.
To år senere, STORBRITANNIEN cybersecurity firma Pen Test Partnere opdagede, at Chromecast var stadig sårbare over for “deauth” angreb, hvilket gør det nemt at afspille indhold på en nabos Chromecasts i blot et par minutter.
Ifølge TechCrunch, at denne sårbarhed blev opdaget af hacker kendt som Hacker Giraf og brugt teknikken til at tvinge tusindvis af Chromecasts for at afspille en video advarsel om, at “DIN Chromecast/Smart-TV, der er udsat for det offentlige internet og afslører følsomme oplysninger om dig!” Hacker Giraf gjorde angive en WEBADRESSE til de plagede brugere til at lære mere om UPnP sårbarhed, samt hurtigt at gøre den ubrugelig:
Disable UPnP på din router, og hvis du viderestilling af porte 8008/8443/8009 så STOP videresendelse af dem.
Hacker Giraf også rettet folk til at abonnere på Felix “PewDiePie” Kjellberg—en YouTube-stjerne og flerårige edgelord. (Den individuelle bag pseudonymet også tog kredit for kapring titusinder af printere tidligere i år til at udspy en besked læsning af en del af “PewDiePie er i problemer, og han har brug for din hjælp til at besejre T-Serien!”)
TechCrunch bemærkes, at den udnyttelse, der vil kunne bruges til at trække off en kompliceret serie af angreb, såsom afspilning af stemmekommandoer højt nok til at blive overhørt af en smart højttaler og dermed rode med nogen forbundet konti eller enheder.
Som Gizmodo tidligere rapporteret, “UPnP har en lang track record for at være kompromitteret af hackere, ofte ved at udsætte enheder til internettet, at der kun bør være synlige lokalt. [Content delivery network] Akamai rapporteret, at denne sommer, at UPnP blev brugt af hackere til at skjule trafik i et ‘organiseret og omfattende misbrug kampagne.’” De seneste angreb, ved hjælp af en UPnP-sårbarhed indarbejdet EternalBlue, en National Security Agency-udviklet udnytte, at lækket i 2017.
I en erklæring til TechCrunch, Google erkendt, at det havde modtaget rapporter af video dukker op på Chromecasts, men hævdede, at: “Dette er ikke et problem med Chromecast specifikt, men er snarere resultatet af router-indstillinger, som gør smart-enheder, herunder Chromecast, som er offentligt tilgængelig.”
[TechCrunch]
Dele Denne Historie