Des chercheurs universitaires ont mis au point un nouveau hack fonctionnel qui réquisitionne les haut-parleurs connectés Amazon Echo et les oblige à déverrouiller les portes, à passer des appels téléphoniques et des achats non autorisés, et à contrôler les fours, les fours à micro-ondes et d'autres appareils connectés.Le hack fonctionne en utilisant le haut-parleur de l'appareil pour émettre des commandes vocales. Tant que le discours contient le mot de réveil de l'appareil (généralement "Alexa" ou "Echo"
suivi d'une commande autorisée, l'Echo l'exécutera, ont découvert des chercheurs de l'Université Royal Holloway de Londres et de l'Université italienne de Catane. Même lorsque les appareils nécessitent une confirmation verbale avant d'exécuter des commandes sensibles, il est trivial de contourner la mesure en ajoutant le mot "oui" environ six secondes après l'émission de la commande. Les attaquants peuvent également exploiter ce que les chercheurs appellent le "FVV" pour full voice vulnerability ou vulnérabilité vocale complète, qui permet aux Echo d'effectuer des commandes autoémises sans réduire temporairement le volume de l'appareil.Parce que le hack utilise la fonctionnalité Alexa pour forcer les appareils à effectuer des commandes autoémises, les chercheurs l'ont surnommé "AvA", abréviation d'Alexa contre Alexa. Il ne nécessite que quelques secondes de proximité avec un appareil vulnérable lorsqu'il est allumé afin qu'un attaquant puisse prononcer une commande vocale lui demandant de se coupler avec l'appareil compatible Bluetooth d'un attaquant. Tant que l'appareil reste à portée radio de l'Echo, l'attaquant pourra émettre des commandes.
L'attaque « est la première à exploiter la vulnérabilité des commandes arbitraires autoémises sur les appareils Echo, permettant à un attaquant de les contrôler pendant une période prolongée », ont écrit les chercheurs dans un article. « Avec ce travail, nous supprimons la nécessité d'avoir un haut-parleur externe près de l'appareil cible, augmentant ainsi la probabilité globale de l'attaque ».
Une variante de l'attaque utilise une station de radio malveillante pour générer les commandes autoémises. Cette attaque n'est plus possible de la manière indiquée dans l'article suite aux correctifs de sécurité publiés par Amazon, le constructeur d'Echo, en réponse à la recherche. Les chercheurs ont confirmé que les attaques fonctionnent contre les appareils Echo Dot de 3e et 4e génération.
AvA commence lorsqu'un appareil Echo vulnérable se connecte par Bluetooth à l'appareil de l'attaquant (et pour les Echos non patchés, lorsqu'ils diffusent la station de radio malveillante). À partir de là, l'attaquant peut utiliser une application de synthèse vocale ou d'autres moyens pour diffuser des commandes vocales. Voici une vidéo d'AvA en action. Toutes les variantes de l'attaque restent viables, à l'exception de ce qui est affiché entre 1:40 et 2:14 :
Les chercheurs ont découvert qu'ils pouvaient utiliser AvA pour forcer les appareils à exécuter une multitude de commandes, dont beaucoup avaient de graves conséquences sur la confidentialité ou la sécurité. Les actions malveillantes possibles incluent :
- contrôler d'autres appareils connectés par exemple pour éteindre les lumières, allumer un four à micro-ondes connecté, régler le chauffage à une température dangereuse ou déverrouiller les serrures de porte connectée. Comme indiqué précédemment, lorsque les échos nécessitent une confirmation, l'adversaire n'a qu'à ajouter un "oui" à la commande environ six secondes après la demande ;
- appeler n'importe quel numéro de téléphone, y compris celui contrôlé par l'attaquant, afin qu'il soit possible d'écouter les sons à proximité. Alors que les Echo utilisent une lumière pour indiquer qu'ils passent un appel, les appareils ne sont pas toujours visibles pour les utilisateurs, et les utilisateurs moins expérimentés peuvent ne pas savoir ce que signifie la lumière ;
- faire des achats non autorisés en utilisant le compte Amazon de la victime. Bien qu'Amazon enverra un e-mail informant la victime de l'achat, l'e-mail peut être manqué ou l'utilisateur peut perdre confiance en Amazon. Alternativement, les attaquants peuvent également supprimer des éléments déjà présents dans le panier du compte ;
- altérer le calendrier précédemment lié d'un utilisateur pour ajouter, déplacer, supprimer ou modifier des événements ;
- se faire passer pour des skills ou lancer n'importe quelle skill au choix de l'attaquant. Ceci, à son tour, pourrait permettre aux attaquants d'obtenir des mots de passe et des données personnelles. Pour mémoire, les skills (compétences) sont, en quelque sorte, l’équivalent des applications sur mobile. Les Skills ajoutent de nouvelles fonctionnalités à Alexa. Elles vous permettent de personnaliser l’utilisation de votre Amazon Echo ou de vos appareils qui intègrent Alexa ;
- récupérer tous les énoncés prononcés par la victime. En utilisant ce que les chercheurs appellent une "attaque masquée", un attaquant peut intercepter des commandes et les stocker dans une base de données. Cela pourrait permettre à l'attaquant d'extraire des données privées, de recueillir des informations sur les compétences utilisées et de déduire les habitudes des utilisateurs.
Les chercheurs ont écrit :
« Avec ces tests, nous avons démontré qu'AvA peut être utilisée pour donner des commandes arbitraires de n'importe quel type et longueur, avec des résultats optimaux. En particulier, un attaquant peut contrôler les lumières connectées avec un taux de réussite de 93 %, acheter avec succès des articles indésirables sur Amazon 100 % du temps, et falsifier un calendrier lié avec un taux de réussite de 88 %. Les commandes complexes qui doivent être reconnues correctement dans leur intégralité pour réussir, comme l'appel d'un numéro de téléphone, ont un taux de réussite quasi optimal, en l'occurrence 73 %. De plus, les résultats présentés dans le tableau 7 démontrent que l'attaquant peut mettre en place avec succès une attaque de masquage vocal par notre compétence Mask Attack sans être détecté, et tous les énoncés émis peuvent être récupérés et stockés dans la base de données de l'attaquant, à savoir 41 dans notre cas ».
Comme indiqué précédemment, Amazon a corrigé plusieurs des faiblesses, dont une qui utilisait les compétences d'Alexa pour réveiller automatiquement les appareils, ce qui permettait d'utiliser facilement les stations de radio pour fournir des commandes autoémises. Dans un communiqué, les responsables de l'entreprise ont écrit :
« Chez Amazon, la confidentialité et la sécurité sont fondamentales dans la conception et la livraison de chaque appareil, fonctionnalité et expérience. Nous apprécions le travail des chercheurs en sécurité indépendants qui aident à attirer notre attention sur les problèmes potentiels et nous nous engageons à travailler avec eux pour sécuriser nos appareils. Nous avons résolu le problème d'autoréveil à distance avec Alexa Skills causé par de longues périodes de silence résultant de balises de rupture, comme l'ont démontré les chercheurs. Nous avons également des systèmes en place pour surveiller en permanence les compétences en direct afin de détecter tout comportement potentiellement malveillant, y compris les nouvelles invites silencieuses. Toutes les compétences fautives que nous identifions sont bloquées lors de la certification ou rapidement désactivées, et nous améliorons constamment ces mécanismes pour protéger davantage nos clients ».
Toujours à l'écoute
La recherche est la dernière à souligner les risques posés par les haut-parleurs connectés. En 2019, des chercheurs ont démontré comment huit applications malveillantes qu'ils ont développées (quatre compétences qui ont passé avec succès le processus de vérification d'Amazon et quatre actions qui ont passé avec succès la vérification de Google) ont subrepticement écouté les utilisateurs et hameçonné leurs mots de passe. Les compétences ou actions malveillantes, qui étaient respectivement hébergées par Amazon et Google, se présentaient comme de simples applications pour vérifier les horoscopes, à l'exception d'une, qui se faisait passer pour un générateur de nombres aléatoires.
La même année, une autre équipe de chercheurs a montré comment Siri, Alexa et Google Assistant étaient vulnérables aux attaques qui utilisaient des lasers de faible puissance pour injecter des commandes inaudibles - et parfois invisibles - dans les appareils et les amener subrepticement à déverrouiller des portes, visiter des sites Web, localiser, déverrouiller et démarrer les véhicules. Les lasers pouvaient être à une distance de 360 ​​pieds (environ 110 mètres) d'un appareil vulnérable. Les commandes basées sur la lumière pourraient également être envoyées d'un bâtiment à un autre et pénétrer le verre lorsqu'un appareil vulnérable se trouve près d'une fenêtre fermée.
Les chercheurs derrière AvA sont Sergio Esposito et Daniele Sgandurra de l'Université Royal Holloway et Giampaolo Bella de l'Université de Catane. Comme contre-mesure pour rendre les attaques moins probables, ils recommandent aux utilisateurs d'Echo de désactiver leurs microphones chaque fois qu'ils n'utilisent pas activement leur appareil.
« Cela rend impossible l'autoémission d'une commande », ont écrit les chercheurs. « De plus, si le microphone n'est pas désactivé uniquement lorsque vous êtes à proximité d'Echo, vous pourrez entendre les commandes autoémises, et ainsi pouvoir y réagir en temps opportun (éteindre Echo, annuler une commande que l'attaquant a passée avec votre compte Amazon, par exemple) ».
Les utilisateurs peuvent toujours quitter une skill en disant « Alexa, quitte » ou « Alexa, annule ». Les utilisateurs peuvent également activer un indicateur sonore qui est joué après que l'appareil Echo détecte le mot de réveil.
Amazon a évalué la menace posée par AvA comme ayant une gravité « moyenne ». L'exigence d'avoir une brève proximité avec l'appareil pour l'appairage Bluetooth signifie que les exploits AvA ne fonctionnent pas sur Internet, et même lorsqu'un adversaire associe avec succès l'Echo à un appareil Bluetooth, ce dernier appareil doit rester à portée radio. L'attaque peut néanmoins être viable pour les partenaires domestiques abusifs, les initiés malveillants ou d'autres personnes qui ont un accès éphémère à un écho vulnérable.
Source : rapport
Et vous ?
Disposez-vous d'appareils connectés à domicile ? Lesquels ? Quelle lecture faites-vous des résultats de ces recherches ? Êtes-vous surpris ?