Anzeige

Türspalt

Video-Türklingeln zur Selbstmontage können von Hackern unter ihre Kontrolle gebracht werden. Fehler beim Entwickeln der IoT-Systeme haben dann unerwartete Konsequenzen. Angegriffene Systeme verletzen unter Umständen die Privatsphäre, die sie eigentlich beschützen sollen. Nur die Zusammenarbeit von Sicherheitsexperten, Plattformentwicklern und Produktherstellern sichert digitale Sprechanlagen.

Über cloudbasierte Video-Sprechanlagen wie LifeShield reden Anwender mit Besuchern an der Tür. Sie verlassen sich darüber hinaus bei Abwesenheit auf die überall verfügbaren Livebilder von zu Hause. Solche IoT-Angebote sind aber auch ein potenzielles Angriffsziel für Cyberkriminelle. Um Sicherheitslücken bei seinen LifeShield-Systemen zu schließen, patchte ADT nach Hinweis von Bitdefenders Sicherheitsexperten kürzlich 1.500 Geräte. Dies zeigt die aktuellen Gefahren solcher IoT-Geräte, deren Sicherheit sehr oft noch zu wünschen übriglässt.

Die offengelegten Risiken sind typisch für oft nicht ideal entwickelte IoT-Systeme:

  • Offenlegen des Administratorkennworts der Kamera: Die Klingel identifizierte sich beim zentralen Server durch ihre MAC-Adresse. Die Cloud-Plattform verwendete ein grundlegendes Verfahren, um die Klingel zu authentifizieren. Der Anwendername lautete zunächst „camera0“ und das Passwort erhielten die Nutzer beim Einrichten des Geräts. In der Konfigurationsphase akzeptierte und beantwortete der Server die damit einhergehenden Nachrichten. Den Autorisierungs-Header ignorierte er, weil ja kein Passwort vergeben war. Aber selbst nach abgeschlossenem Setup und angelegtem Zugangsbegriff antwortete der Server zunächst weiter auf Anfragen mit falschen Zugangsdaten und gab dabei die letzten ihn bekannten Zugangsdaten für das Gerät preis: Letzen Endes konnten Hacker lediglich mit der MAC-Adresse der Kamera das Administrator-Kennwort für diese Türklingel erfahren.
     
  • Feindliche Übernahme über das Netz: Eine intelligente, cloudbasierte Videoklingel ist eine Schnittstelle ins Internet. Manche der Funktionen des Webservers – wie das Anfertigen eines Schnappschusses oder die Suche nach Informationen – verlangten keine Authentifikation. Die Administratoren-Schnittstelle war zwar durch ein Passwort geschützt, welches sich aber wie im vorherigen Absatz beschrieben herausfinden ließ. Mit diesen Zugangsdaten und über die Schnittstelle konnten Hacker über Command Injection Befehle erteilen und Zugriff auf Root-Ebene erhalten.
     
  • Offene RTSP-Server: Die Kamera der Türklingel überträgt die Bilder auf einen Real Time Streaming Protocol-(RTSP)-Server über Port 554. Dieser Weg war durch keinerlei Authentifizierung geschützt. Damit konnten Außenstehende Audio-Video-Feeds mit jedem kompatiblen Media Player abspielen.

Gefährlich werden solche Angriffe vor allem in Immobilien mit vielen Parteien wie kleine Läden oder Gebäude mit WGs, vielen Vermietern oder auch Bürogemeinschaften. Hier könnten andere Teilnehmer im selben drahtlosen Netz und in Reichweite der betroffenen Systeme Gespräche abhören.

Risikofaktor Smart Home IoT

Weitere behobene Lücken belegen typische Gefahren durch IoT in intelligenten Gebäuden:

  • Schon 2019 wurde für die Ring Doorbell Pro-Kameras von Amazon ein Sicherheitsupdate fällig, weil das Überprüfen der Identität an einem Access Point über unverschlüsseltes HTTP erfolgte. Hacker in Reichweite hätten damit Zugangsdaten ausspionieren können.
     
  • 2020 fanden Experten bei August Smart Lock Pro Schwachstellen in smarten Türschlössern. Sie ermöglichte den Diebstahl eines WLAN-Passwortes mit allen damit verbundenen Möglichkeiten wie Zugriff auf den Speicherzugriff, Spionage, Stehlen von Passwörtern sowie von Daten oder von persönlichen Informationen zu betrügerischen Zwecken.
     
  • Über die Cloud geregeltes Licht oder automatische Funktionen in intelligenten Gebäuden stellten ein weiteres Risiko für die Hausbesitzer dar. Hacker hatten die Möglichkeit, den Update-Prozess der Firmware für intelligente Steckdosen, Glühbirnenhalter und Wandschalter über die eWeLink-Plattform zu kontrollieren und bösartige Updates einzuspielen. Verantwortlich war erneut ein fehlerhaft entworfener Authentifikationsprozess der Schalter durch den Server. Dafür genügte dem Hacker am Ende eine gültige ID-Nummer, die Angreifer über jedes beliebige Smartphone eingegeben konnten.

Solche Fehler in der Entwicklung kommen in der nicht standardisierten IoT-Welt häufig vor. Sicherheitsexperten wenden sich frühzeitig an die Hersteller, finden aber oft nur nach einiger Zeit und manchmal gar kein Gehör – anders als in den hier präsentierten Fällen.

Jeder Gegenstand mit Anschluss an das Internet ist prinzipiell hackbar. Anwender sollten daher IoT-Geräte streng überwachen und soweit wie möglich von lokalen oder Gastnetzen isolieren – etwa durch ein dediziertes SSID nur für IoT-Hardware. Hersteller erhöhen durch automatisierte Aktualisierung ihrer Systeme die Sicherheit. Darauf sollten auch Anwender Wert legen. Zudem sollten IT-Security-Dienste und Software auch IoT-Geräte scannen. Moderne Router können so private Netze inklusive IoT-Hardware schützen.

Weitere Informationen:

Eine detaillierte Dokumentation der Sicherheitslücke von LifeShield findet sich hier.

Bogdan Botezatu, Director of Threat Research and Reporting
Bogdan Botezatu
Director of Threat Research and Reporting, Bitdefender

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Artikel zu diesem Thema

IoT
Jan 09, 2021

Das Potenzial des Internet of Things

Gartner prognostizierte 2017, dass bis 2020 20 Milliarden IoT-Geräte online verbunden…
IoT
Okt 12, 2020

Anstieg an Endpunkt- und IoT-Sicherheitsvorfällen

Die anhaltende globale Pandemie, die zu einem massiven Anstieg der Telearbeit und einer…
IoT
Sep 15, 2020

Cyber-Hygiene und das Internet der Dinge

Das Internet der Dinge (IoT) hat unser Leben und Arbeiten drastisch verändert, und das…

Weitere Artikel

Firefox Hacker

FriarFox: Malware-Erweiterung für Firefox spioniert Gmail-Konten aus

Sicherheitsforscher von Proofpoint haben eine neue Cyberattacke entdeckt. Über eine bösartige Browser-Erweiterung für Mozilla Firefox in Kombination mit der Scanbox-Malware gelang es Kriminellen, die Gmail-Konten ihrer Opfer zu übernehmen.
Cybercrime

Phishing- und Malware-Kampagnen mit COVID-19-Bezug

Das IT-Sicherheitsunternehmen Tenable veröffentlichte vor Kurzem eine fundierte Analyse der signifikantesten Datensicherheitsverletzungen aus dem vergangenen Jahr. Der Bericht „Rückblick auf die Bedrohungslandschaft 2020“ analysiert unter anderem die…
Business Email Compromise

Business E-Mail Compromise: Weniger Technik, höhere Schäden

Ransomware ist unbestritten eine der größten Cyberbedrohungen für Unternehmen. Immer neue medienwirksame Fälle und die sich ständig weiterentwickelnde Technik haben ihren Teil dazu beigetragen, dass sich mittlerweile die meisten Unternehmen dieser Gefahr…
Hacker

Darknet: Der Aufstieg der Initial Access Broker durch das Home-Office

Home-Office in der Corona-Pandemie und neuer Malware-Technologien haben 2020 zu einem sprunghaften Anstieg beim Handel mit kompromittierten bzw. gehackten Fernzugriffen (Remote Access) geführt. Angebote rund um RDP-, VPN- und Citrix-Gateways haben einen neuen…
RDP

Home-Offices unter Beschuss: RDP-Angriffe steigen um 4.516 Prozent

Cyberkriminelle haben es in Deutschland, Österreich und der Schweiz massiv auf Unternehmen und deren Arbeitnehmer im Home-Office abgesehen. Allein im Dezember 2020 registrierte der europäische IT-Sicherheitshersteller ESET in diesen drei Ländern täglich…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!