Was die Sicherheitsforscher von Check Point vermutet hatten, bestätigte sich nun: Amazons Sprach-Assistent kann ein sehr gefährliches Einfallstor für Angreifer sein. Die Experten fanden diverse Schwachstellen.
Das Research Team von Check Point Software Technologies Ltd. fand bei genauerer Betrachtung des Smart-Home-Devices Amazon Alexa diverse Schwachstellen, die von Angreifern ins Visier genommen werden können. Mit nur einem falschen Klick drohte den Anwendern der Verlust zahlreicher persönlicher Daten oder sogar der Historie sämtlicher Sprachaufzeichnungen, also des persönlichen Stimmen-Profils. Außerdem konnten sie über Alexa ausspioniert werden.
Über 200 Millionen Alexa-Geräte verschiffte Versand-Riese Amazon bereits in Haushalte auf der ganzen Welt. Mittels Spracheingabe können die Nutzer andere Smart-Home-Geräte steuern, Musik abspielen, Fernsehen und Produkte aus dem Online-Versandhaus sofort ordern. Wegen dieser dauerhaften Anbindung aber an das Internet und der Vernetzung mit weiteren Geräten im Haushalt, sind Amazons Alexa-Geräte ein interessantes Einfallstor für Hacker. Die Nachforschungen von Check Point zeigen nun, wie anfällig der Sprach-Assistent tatsächlich war.
Bei einem erfolgreichen Angriff hätten die Hacker:
- Zugriff auf die persönlichen Informationen eines Opfers, wie die Bankdaten, den Benutzernamen, Telefonnummern und Wohnadresse erhalten.
- Zugriff auf sämtliche Sprachaufzeichnungen erhalten, die in Alexa als Historie hinterlegt werden.
die Möglichkeit zur unbemerkten Installation von Skills (Apps) auf dem Alexa-Konto eines Benutzers gehabt. - Einsicht in die Zugriffsberechtigungen und Funktionen eines Alexa-Benutzerkontos erhalten.
- Befugnis zur unbemerkten Installation oder Löschung von Applikationen bekommen.
Aus technischer Sicht gelang es zu zeigen, dass bestimmte Amazon- und Alexa-Subdomains anfällig für einfache Cross-Origin Ressource Sharing (CORS)-Fehlkonfigurationen und Cross Site Scripting (CSS) waren.
Wegen der Verwendung von XSS waren die Forscher zudem in der Lage, das CSRF-Token abzufangen und Aktionen im Namen des Opfers durchzuführen. So hätten diese Exploits es einem Angreifer ermöglichen können, Skills auf dem Alexa-Konto eines Opfers zu entfernen oder zu installieren, auf dessen Stimmverlauf zuzugreifen und persönliche Informationen über die Interaktionen des Benutzers mit einzelnen Programmen zu stehlen. Die installierten Skills müssen dabei nicht einmal Malware enthalten – ein Fernzugriff auf Mikrofon oder Kamera eines Alexa-Gerätes kann in den falschen Händen bereits zur Daten- und Informations-Spionage missbraucht werden.
Ein Angriff hätte nur einen einzigen Klick auf einen vermeintlichen Amazon-Link erfordert, der vom Angreifer erstellt wurde, um erfolgreich zu sein. Besonders der Zugriff Sprach-Historie hätte Hackern wertvolle und intime Informationen über den Benutzer in die Hände spielen können, sowie das Tor für weitere Social Engineering Angriffe über Vishing öffnen können. Durch Einblick in die per Alexa getätigten Transaktionen könnten Angreifer zudem die Bankinformationen des Nutzers erbeuten.
Check Point informierte Amazon über die Ergebnisse und die Schwachstellen auf den Subdomains. Sie wurden entsprechend geschlossen. Bis dahin aber, kann ein Nutzer zum Opfer eines solchen Angriffes geworden sein. (rhh)
