Ο Kunze πειραματιζόταν με το δικό του ηχείο Google Home στις αρχές του 2021, όταν διαπίστωσε ότι ένας χάκερ μπορούσε να εγκαταστήσει έναν λογαριασμό " backdoor " στη συσκευή μέσω του διαδικτύου. Περιέγραψε λεπτομερώς το ελάττωμα ασφαλείας στο ιστολόγιό του, αναφέροντας ότι κάποιος θα μπορούσε να στείλει εντολές στο ηχείο από απόσταση, να αποκτήσει πρόσβαση στο μικρόφωνό του, να αποσπάσει κωδικούς πρόσβασης Wi-Fi και να αποκτήσει πρόσβαση σε άλλες συσκευές στο δίκτυο.
Είπε ότι ο χάκερ θα έπρεπε να ξεγελάσει τον στόχο ή το θύμα ώστε να εγκαταστήσει μια κακόβουλη εφαρμογή Android, η οποία επέτρεπε στον λογαριασμό του εισβολέα να συνδεθεί με το έξυπνο ηχείο. Μόλις ο χάκερ έμπαινε, το μικρόφωνο στο ηχείο Google Home θα ήταν εύκολα προσβάσιμο για να κατασκοπεύει τις συνομιλίες.
Το θύμα δεν θα είχε ιδέα για την παραβίαση. Ο Kunze δήλωσε ότι "το μόνο πράγμα που μπορεί να παρατηρήσει είναι ότι οι λυχνίες LED της συσκευής γίνονται σταθερά μπλε, αλλά πιθανότατα θα υποθέσει ότι ενημερώνει το υλικολογισμικό ή κάτι τέτοιο".
ΔΙΑΒΑΣΤΕ ΕΠΙΣΗΣ
Τι αναζήτησαν οι Έλληνες στην Google μέσα σε όλη τη χρονιά
Ανέφερε το ελάττωμα ασφαλείας στην Google στις αρχές του 2021 και τον Απρίλιο του ίδιου έτους δόθηκε ένα patch σε όλες τις συσκευές. Ο τεχνολογικός γίγαντας τον αντάμειψε με περισσότερα από 100.000 δολάρια για τις προσπάθειές του.
"Πρόσφατα ανταμείφθηκα με συνολικά 107.500 δολάρια από την Google για την υπεύθυνη αποκάλυψη ζητημάτων ασφαλείας στο έξυπνο ηχείο Google Home, τα οποία επέτρεπαν σε έναν εισβολέα που βρισκόταν σε ασύρματη εγγύτητα να εγκαταστήσει έναν λογαριασμό "κερκόπορτας" στη συσκευή, επιτρέποντάς του να στέλνει εντολές σε αυτήν εξ αποστάσεως μέσω του διαδικτύου, να έχει πρόσβαση στην τροφοδοσία του μικροφώνου της και να κάνει αυθαίρετα αιτήματα HTTP εντός του τοπικού δικτύου του θύματος (τα οποία θα μπορούσαν ενδεχομένως να εκθέσουν τον κωδικό πρόσβασης Wi-Fi ή να παράσχουν στον εισβολέα άμεση πρόσβαση σε άλλες συσκευές του θύματος). Αυτά τα ζητήματα έχουν έκτοτε διορθωθεί", έγραψε στο ιστολόγιό του.
"Αξίζει να σημειωθεί ότι το Google Home κυκλοφόρησε το 2016, οι προγραμματισμένες ρουτίνες προστέθηκαν το 2018 και το Local Home SDK εισήχθη το 2020, οπότε ένας εισβολέας που θα έβρισκε το ζήτημα πριν από τον Απρίλιο του 2021 θα είχε αρκετό χρόνο για να το εκμεταλλευτεί", επισήμανε το τεχνολογικό blog Bleeping Computer.
