Постоянные читатели WeLiveSecurity не удивятся, узнав, что кибератаки и их методы продолжают эволюционировать, поскольку злоумышленники продолжают расширять свой репертуар. Также стало общепринятым высказывание о том, что по мере обнаружения и исправления уязвимостей в системе безопасности (увы, иногда после ее неправомерного использования), злоумышленники находят новые бреши в программной броне.
Иногда, однако, в заголовки новостей попадает не «просто» (еще одна) лазейка в системе безопасности, а новая форма атаки. То же самое недавно произошло с довольно нетрадиционным методом атаки, получившим название NUIT. Хорошие новости? NUIT был обнаружен учеными, и нет никаких сообщений о том, что кто-либо использовал его для розыгрышей или откровенных киберпреступлений. Тем не менее, не помешает узнать еще об одном способе, каким ваша конфиденциальность и безопасность могут оказаться под угрозой, а также о том факте, что NUIT на самом деле может существовать в двух формах.
Как NUIT появился на свет
NUIT, или около-ультразвуковой неслышимый троян, — это класс атак, которые могут быть развернуты для бесшумного и удаленного захвата устройств, которые используют или работают с голосовыми помощниками, такими как Siri, Google Assistant, Cortana и Amazon Alexa. В результате любое устройство, принимающее голосовые команды — например, ваш телефон, планшет или смарт-динамик, — может стать объектом нападения. В конечном счете, атака может иметь серьезные последствия, начиная с нарушения конфиденциальности и потери доверия и заканчивая взломом инфраструктуры компании, что, в свою очередь, может привести к огромным денежным потерям.
Согласно описанию группы исследователей из Университета Техаса в Сан-Антонио (UTSA) и Университета Колорадо в Колорадо-Спрингс (UCCS), NUIT возможен, потому что микрофоны цифровых помощников могут реагировать на около-ультразвуковые волны, воспроизводимые из динамика. Несмотря на то что эта звуковая команда не слышна вам, она даст команду постоянно включенному голосовому помощнику выполнить действие — скажем, выключить сигнализацию или открыть входную дверь, защищаемую умным замком.
Безусловно, NUIT — за последние годы это не первая акустическая атака, которая «подняла волну». Ранее уже описывались атаки с такими же интригующими названиями — вспомните о SurfingAttack, DolphinAttack, LipRead и SlickLogin, включая некоторые другие неслышимые атаки, которые также нацеливались на помощников умного дома.
Ночь, ночь
Как уже упоминалось, NUIT существует в двух формах: к ним относятся:
- NUIT 1 – Это когда устройство является и источником, и объектом атаки. В таких случаях все, что нужно пользователю, — это воспроизвести аудиофайл на своем телефоне, который заставляет устройство выполнить действие, например отправить текстовое сообщение с указанием своего местоположения.
ВИДЕО: NUIT 1 Атака end-to-end без ответа
- НУИТ 2 — Эта атака запускается устройством с динамиком на другом устройством с микрофоном, например, с вашего ПК на смарт-динамике.
ВИДЕО: NUIT 2 Тихая атака end-to-end blurFace
В качестве примера предположим, что вы смотрите вебинар в Teams или Zoom. Пользователь может включить и воспроизвести звук, который затем уловит ваш телефон, скомандовав последнему посетить опасный веб-сайт и внедрить на устройство вредоносную программу.
Кроме того, на своем телефоне с помощью динамиков можно воспроизводить видео с YouTube, и тогда телефон выполнит неразрешенное действие. С точки зрения пользователя, эта атака не требует какого-либо конкретного взаимодействия, что делает ее еще опаснее.
Должен ли NUIT не давать вам спать по ночам?
Что нужно для проведения такой атаки? Не так уж и много, поскольку для работы NUIT громкость динамика, с которого он запускается, должна быть выше определенного уровня, при этом команда длится менее секунды (0,77 с).
Кроме того, само собой разумеется, что вам нужно включить голосового помощника. По словам исследователей, из 17 протестированных устройств труднее всего взломать оказалось только устройства Apple с поддержкой Siri. Это объяснялось тем, что хакеру, чтобы заставить телефон принимать команды, нужно было сначала выкрасть ваш уникальный голосовой отпечаток.
Вот почему каждый должен настроить своих помощников так, чтобы они работали только с вашим собственным голосом. В качестве альтернативы рассмотрите возможность отключения голосового помощника, когда он не нужен; поэтому при использовании любых устройств IoT задействуйте свою кибер-сообразительность, так как всевозможные умные штуковины могут становиться легкой добычей киберпреступников.
Рекомендации врача
Исследователи, которые представят результаты своих исследований в области NUIT на 32-м Симпозиуме по безопасности USENIX, также рекомендуют пользователям сканировать свои устройства на наличие случайных активаций микрофона. Устройства Android и iOS отображают активацию микрофона, обычно с помощью зеленой точки на Android и коричневой точки на iOS в верхней части экрана. В этом случае также рассмотрите возможность пересмотра разрешений вашего приложения на доступ к микрофону, так как не каждому приложению необходимо слышать ваше окружение.
Точно так же слушайте звук с помощью наушников или гарнитуры, поскольку в этом случае вы с меньшей вероятностью будете делиться звуком со своим окружением, защищая себя от атак подобного рода.
Это также хороший повод, чтобы проверить, насколько хорошо у вас решены основные вопросы кибербезопасности: обновите все свои устройства и программное обеспечение, включите двухфакторную аутентификацию во всех своих учетных записях интернет-служб и используйте надежные программные продукты для обеспечения безопасности на всех своих устройствах.
ЧТЕНИЕ ПО ТЕМЕ:
Работа из дома: ваш цифровой помощник должен быть включен или выключен?
