Aanvaller kan robotstofzuiger door lek gebruiken voor spionage
Onderzoekers hebben in robotstofzuigers van fabrikant Diqee twee kwetsbaarheden ontdekt waardoor een aanvaller het apparaat kan overnemen en de eigenaar op afstand kan bespioneren. De stofzuigers beschikken over wifi, een webcam met nachtzicht en zijn via een smartphone te bedienen.
De eerste kwetsbaarheid maakt het mogelijk voor een aanvaller om op afstand willekeurige code uit te voeren. Door het versturen van een speciaal udp-verzoek is het namelijk mogelijk om commando's met "superuser" rechten uit te voeren, zo stelt securitybedrijf Positive Technologies dat de kwetsbaarheden ontdekte. Om de aanval uit te voeren moet de aanvaller zich wel eerst authenticeren. Volgens de onderzoekers is dit geen echt obstakel, omdat de stofzuigers allemaal dezelfde standaard gebruikersnaam en wachtwoord hebben.
Om de tweede kwetsbaarheid te misbruiken moet een aanvaller fysieke toegang tot de stofzuiger hebben. Dit beveiligingslek bevindt zich in het updatemechanisme van de stofzuiger. Zodra er een microSD-kaart is aangesloten zal het systeem firmwarebestanden vanuit een bepaalde map op de microSD-kaart met superuser-rechten uitvoeren, zonder dat hierbij de digitale handtekening van het bestand wordt gecontroleerd. Een aanvaller kan zodoende een speciaal script laten uitvoeren dat willekeurige code uitvoert, zoals een sniffer die wifi-data van andere apparaten onderschept.
"Net als andere IoT-apparaten kunnen deze robotstofzuigers aan een botnet worden toegevoegd voor het uitvoeren van ddos-aanvallen, maar dat is niet eens het ergste scenario, tenminste voor de eigenaren. Aangezien de stofzuiger over wifi, een webcam met nachtzicht en smartphonebediening beschikt, kan een aanvaller in het geheim de eigenaar bespioneren", aldus de onderzoekers.
Ze waarschuwen dat de kwetsbaarheden mogelijk ook in andere Internet of Things-apparaten aanwezig zijn die dezelfde videomodule als de Diqee-robotstofzuigers gebruiken. Het kan dan gaan om surveillancecamera's, digitale videorecorders en smart deurbellen. De onderzoekers vermelden niet of de gevonden kwetsbaarheden zijn verholpen.
Nou ja behalve het afwassen dan ;-)
Nou ja behalve het afwassen dan ;-)
Dat doet de vrouw dan ;-)
Nou ja behalve het afwassen dan ;-)
Dat doet de vrouw dan ;-)
Nou mooi niet!
Mijn zus en ik hebben in die jaren heel wat in de keuken gestaan om de vaat te doen (voor een gezin met totaal 8 personen). Moeder wist dat prima te delegeren en dit werk werd als heel normaal beschouwd. Elke avond, vaste prik! De overige kinderen waren nog te klein.
En ik weet dat we niet de enigen waren.
Toch hebben we er niet echt onder geleden, er waren andere dingen die (in een gezin) veel vervelender (of zelfs zeer ernstig) waren...
Net als met automatische gordijnen: het hoeft niet op internet.
Het wordt vanzelf licht en weer donker en er bestaan lichtsensoren die dit aan een (micro)controller kunnen doorgeven
en dan regelt de onafhankelijke software wel wanneer ze (ongeveer) open en dicht gaan.
Ook een tijdelijk plotselinge donkere lucht hoeft weinig of geen invloed te hebben.
Voor wat betreft afwassen/afdrogen: op kantoor had ik er best plezier in.
Het is zoals met al dit soort dingen, hoe saai het ook is, maak er een feestje van.
Als je het daar niet mee eens bent, vraag je dan eens af of je een stofzuiger zou accepteren waarbij een substantieel deel van de luchtstroom niet door de slang loopt omdat de fabrikant te incompetent is om lekken te voorkomen. Zeg je dan tegen jezelf dat je maar niet zo stom had moeten zijn om een slecht produkt te kopen of had je mogen verwachten dat dat ding het behoorlijk doet? Als je vindt dat je als klant iets mag verwachten, vraag je dan eens af waarom dat niet voor het ICT-deel van een produkt zou gelden.
In zulke gevallen koop je en/of gebruik je het niever niet aan het Internet gehangen. Dan is het gebruik van "slimme"apparaten eigenlijk oliedom, zowel in veiligheidsopzicht of als je privacy je lief is.
Maar dat laatste, de privacybescherming, is eigenlijk al de das omgedaan- als ik naar de HTM klantenservice site ga en er vervolgens 62 trackingverzoeken van die site moeten worden verhinderd.
We moeten komen tot hardware-matige totaal IoT beveiligingsoplossing. Die zijn er al voor USA en Israel, maar nog niet hier gearriveerd. Voorlopig liggen bij Google de beveiligingsafdeling en de advertentie core-business afdeling nog flink met elkaar in de clinch en naar schijnt heeft de advertentiepoot het laatste woord.
luntrus
Daarom Anoniem van 19:47 zal je wens wel een wensdroom blijven, die biljoen keer biljoen keer biljoen IPv6 adressen moeten toch toegekend worden, de matrix zal en moet worden opgetuigd, de globalist wacht erop. Maak je dus geen illusies.
luntrus
luntrus
Interessante vraag. Hieronder stukje over de reden achter de webcam, op dit soort robots ;)
---
While some high-end robotic vacuums, like the iRobot Roomba 980, use a camera to help them navigate their surroundings, the Diqee uses a camera to turn the device into a surveillance system. The idea is, as the vacuum charges its batteries or drives around your home to clean the carpets, you can remotely view the camera feed to check in on your property.
https://www.gearbrain.com/robotic-vacuum-cleaner-camera-hack-2588365462.html
---
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.