spinner

Nuevas amenazas en Google Home. ¿Quieres saber cómo descubrimos un ataque por ecualizador?

Una de las tareas del Security Lab de BBVA Next Technologies es estar siempre a la cabeza en innovación y ayudar en la detección de amenazas de seguridad que pudieran afectar a las tecnologías y datos que se utilizan en clientes y grupo BBVA.

En los últimos meses se ha prestado un interés especial a los dispositivos conversacionales (Google Home, Alexa…) por su importancia en nuevos procesos de comunicación y en su implantación en organizaciones que pueden gestionar información sensible. En el Security Lab de BBVA Next Technologies seguimos con este trabajo y poco a poco iremos contando descubrimientos y particularidades de estas tecnologías, desde el punto de vista de seguridad de la información y de un modo responsable (siguiendo con los principios del responsible disclosure).

¿Cómo se puede atacar la seguridad de estos dispositivos?

Existen muchos análisis posibles a este tipo de dispositivos: dolphin attacks (ultrasound), obfuscated commands hidden in audios (enmascarar comandos no audibles por humanos), voice squatting (sonidos similares), malware (masquerading attacks, breaking access control, etc.), eavesdropping (intentar convertir los asistentes en dispositivos de escucha), authentication with fake voice (lyrebird, etc.), etc. Así como la posibilidad de introducir implantes hardware (por ejemplo, micrófonos espías) en los dispositivos (asistentes de voz) buscando ataques dirigidos.

Análisis de Google Home para la posibilidad de implantes hardware

¿En qué ha consistido nuestra investigación?

En este post vamos a explicar un nuevo vector de ataque, no conocido, a Google Home. Este ataque ya ha sido notificado al equipo de seguridad de Google, que está trabajando en la solución a este problema. Antes de nada, queremos queremos agradecerles su profesionalidad y la mención que nos hacen en su web del Hall of Fame (en la sección Honorable Mentions), un espacio en el que dan a conocer a aquellos expertos que con sus investigaciones contribuyen a que Internet sea un sitio más seguro.

El descubrimiento que explicamos en este post pone el foco en las posibilidades que abre la existencia de una API (poco documentada) que permite cierto control, al menos, del dispositivo Google Home y Google Home Mini. Mediante un escaneo de los puertos involucrados en las comunicaciones con los dispositivos y el análisis del tráfico pueden inferirse diferentes funcionalidades no documentadas.

Se puede interactuar con el dispositivo consiguiendo listar las redes conocidas, eliminar las wifis configuradas, sustituir la wifi actual por una a medida (por suerte el tráfico va cifrado lo que dificulta muchos ataques), conocer el nombre del dispositivo (fingerprinting), operar con las alarmas, etc.

En esta lista de posibilidades, uno de los ataques que hemos descubierto hace uso de los valores del ecualizador configurables a través del endpoint IP:8008/setup/user_eq/set_equalizer.

Hemos comprobado que un atacante con acceso a la misma red wifi, o si el atacante tiene la capacidad en progresar un petición http por otra vía (link malicioso, web infectada, etc.) podría modificar mediante una petición, usando una API no autenticada, la ganancia del ecualizador y provocar una DoS persistente al dispositivo (nuestras pruebas lo verifican con parámetros de 1000db). El problema no se soluciona reiniciando el dispositivo ni modificando la configuración mediante la aplicación móvil. De este modo, la percepción del usuario final sería que el dispositivo “parece” que funciona pero no contesta a sus consultas.

 

Configuración de una petición maliciosa

Algunas conclusiones

Como hemos comentado, Google ya está trabajando en su solución y actualmente la única contramedida es revertir manualmente la configuración maliciosa utilizando la misma API que un potencial atacante.

Desde el Cybersecurity Lab de BBVA Next Technologies seguiremos investigando posibles vulnerabilidades en estos dispositivos, ya que su potencial (y el de los sistemas conversacionales) es enorme y su impacto en los próximos años será notorio. Es importante analizar bien su seguridad por el beneficio de todos.

Imagen: Google Home


Este post está escrito por:

Las opiniones vertidas por el autor son enteramente suyas y no siempre representan la opinión de BBVA Next Technologies.

¿Quieres saber que más cosas hacemos en BBVA Next Technologies?