IBM: crimineel kan door versturen van Raspberry Pi bedrijf aanvallen
Criminelen kunnen wifi-netwerken van bedrijven aanvallen door een Raspberry Pi of andere single board computer via de post naar hen toe te sturen, zo waarschuwt IBM in een blogposting. De aanvallen zouden zowel gericht tegen de netwerken als hun gebruikers kunnen zijn.
In het verleden hebben zich verschillende voorbeelden voorgedaan waarbij aanvallers het op het wifi-netwerk van een organisatie hadden voorzien. Vorig jaar werd bekend dat de MIVD een aanval had verstoord die tegen het draadloze netwerk van de Organisatie voor het Verbod op Chemische Wapens (OPCW) in Den Haag was gericht. In 2007 werden via een onbeveiligd wifi-netwerk 94 miljoen creditcardgegevens bij winkelketen TJX gestolen.
In beide gevallen waren de aanvallers in de buurt van hun doelwit. Door een minicomputer per post te versturen is dat niet meer nodig, aldus IBM. Een minicomputer met accu en 3G-verbinding maakt het mogelijk om op afstand dergelijke wifi-aanvallen uit te voeren. Zo kan er worden geprobeerd om het wachtwoord van het wifi-netwerk te kraken of een kwaadaardig wifi-netwerk op te zetten waarmee medewerkers van de betreffende organisatie verbinding maken. Op deze manier kunnen ook inloggegevens worden verkregen.
Zodra de aanvaller toegang tot het wifi-netwerk van de aangevallen organisatie heeft kan die proberen om andere systemen aan te vallen. Om dergelijke aanvallen te voorkomen adviseert IBM om medewerkers geen persoonlijke post naar het kantoor te laten sturen, pakketjes net zo te behandelen als bezoekers, inkomende pakketten te controleren en personeel te onderwijzen om alleen met vertrouwde wifi-netwerken verbinding te maken. Tevens raadt IBM aan om in bedrijfsomgevingen geen preshared keys te gebruiken en dat de signaalsterkte van het wifi-netwerk niet als beveiligingsmaatregel moet worden gezien.
Update
De aanval die IBM demonstreert is niet nieuw. Zes jaar geleden in 2013 demonstreerden onderzoekers David Maynor en Robert Graham al een soortgelijke aanval waarbij ze een telefoon gebruikten. Een jaar later in 2014 kwam onderzoeker Larry Pesce op het idee om een Raspberry Pi per post te versturen.
Echter inderdaad, WiFi toegang tot een LAN dat moet je gewoon niet doen. Maak gerust een WiFi netwerk maar
hang het aan internet, en laat je medewerkers er op inloggen alsof ze thuis zitten (met 2nd factor authenticatie en zo).
https://nl.wikipedia.org/wiki/Minicomputer
Als mensen dit na proberen te doen met een Raspberry Pi, blijkt dat het niet werkt, omdat de accu leeg is voordat het pakketje bij de ontvanger is. ;-)
Peter
Om iets minder in de gaten te lopen zou ik het wel inbouwen in een leuke gift set. Liefst iets wat men op kantoor bewaart en niet mee naar huis wil nemen.
alleen dan beetje jammer van de kop toch?:
IBM: crimineel kan door versturen van Raspberry Pi bedrijf aanvallen
Je bent pas een baas als je dit met een ESP8266 doet.
alleen dan beetje jammer van de kop toch?:
IBM: crimineel kan door versturen van Raspberry Pi bedrijf aanvallen
Dat noemen ze dan clickbait.
Er wordt te vaak gedacht dat je tegen alles bestand moet zijn en daardoor wordt de wereld op een hoop kosten en
ellende gejaagd. Echter 100% goed tegen saboteurs en vandalen krijg je het toch niet.
Waarom moet mijn systeem voortdurend met de handrem erop rijden om te wapenen tegen een of ander puur theoretisch
lek zoals die de laatste tijd populair zijn bij de academici (van de categorie Spectre)?
Deze posting is gelocked. Reageren is niet meer mogelijk.
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Cyber Security Trainer
"You know that feeling after you have been to the cinema and seen an exciting movie? It's the same after this training. I can only say that this is probably the BEST TRAINING that I've ever done!!!”
Are you ready for a challenge?
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.