Avast安全研究员逆向工程了一台物联网咖啡机，使其变身勒索软件上传器和门罗币挖矿机。对消费者而言，智能电器一直是风险颇高的家电选项，特别是在咖啡机方面。早在2015年，Pen Test Partners的研究人员就发现Smarter iKettle品牌的初代咖啡机存在安全漏洞，黑客可以利用这些漏洞恢复出Wi-Fi加密密钥。之后的二代咖啡机中也发现了类似缺陷。而现在看来，缺陷显然也会遗传，最新版咖啡机中亦存在漏洞问题。不过，这并不令人意外。因为2017年时Hackread.com就独家报道过此类事件：一台咖啡机将整个工厂的计算机网络都感染上了勒索软件。如今，安全公司Avast的高级研究员Martin Hron，又在不入侵网络或路由器的情况下，黑了第三代iKettle咖啡机。Hron在这台售价179英镑的咖啡机上做实验，证明无需访问毫无防护的路由器即可入侵物联网设备。实验非常成功，因为只有拔下电源才能停止机器故障。之后，9月25日，Hron发表博客文章，解释称：“物联网设备威胁不仅仅是可以通过毫无防护的路由器访问设备，或者设备暴露在公开互联网上，而是物联网设备本身很容易受到攻击，无需拥有网络或路由器就可以轻易得手。”由于相应的安卓智能手机应用采用未加密的连接，Hron可以通过固件更新访问此咖啡机。一开机，Hron就注意到，这台机器根本就是个Wi-Fi接入点，可以通过不安全/未加密连接接入其安卓应用。进一步探查之后，Hron发现，固件更新机制也未加密，并且不涉及任何身份验证过程或代码签名。然后，Hron将应用的最新版固件上传到计算机，并使用交互式反汇编程序进行了逆向工程。他还拆了咖啡机，查看内部配置的CPU是什么型号。Hron本来想将咖啡机改造成加密货币挖矿机，但发现CPU效率不足。获得必要的详细信息后，Hron编写了Python脚本，用来复制机器的更新过程；还修改了其固件和脚本代码行，搅乱机器运行，并在连接到用户的家庭网络后要求赎金。不过，Hron澄清说，入侵咖啡机说起来容易做起来难，至少黑客就必须一直待在机器的Wi-Fi覆盖范围内。尽管如此，智能设备可以通过这种方式加以利用的事实还是很令人担忧。Hron写道：“随着物联网设备的爆炸式增长，还有人们对智能家居的狂热支持，废旧脆弱设备越来越多，根本就是一支可被滥用来从事各种恶意活动的庞大军队，网络入侵、数据泄露、勒索软件攻击和分布式拒绝服务（DDoS）等安全事件将越来越多。”
评论