IT-Sicherheit

BitDefender: Smarte Steckdosen haben Sicherheitslücken

Daten-Sicherheit© maxkabakov / Fotolia.com

Mit intelligenten Steckdosen lassen sich Geräte steuern und vernetzen. Aber die smarten Steckdosen bergen auch ein Risiko für Hacker-Angriffe.

Schwerte - Das IT-Sicherheitsunternehmen BitDefender warnt vor Angriffen auf intelligente Steckdosen. Ein häufig genutztes Modell soll besonders anfällig sein. Hacker können darüber relativ einfach Zugang zu dem heimischen Netzwerk gelangen.

Übertragung im Klartext

Bei dem Gerät wird laut BitDefender der Zugriff nur mit einer schwachen Kombination aus Nutzername und Passwort abgesichert. Zudem weise die Anwendung den Nutzer nicht ausreichend auf Sicherheitsrisiken hin, falls die voreingestellten Zugangsdaten nicht geändert werden. Darüber hinaus überträgt die entsprechende App der smarten Steckdose während der Konfiguration Nutzername und Passwort des Wi-Fi-Netzwerks im Klartext, auch die Kommunikation vom Gerät zur Anwendung, welche durch die Server des Herstellers geht, wird nur kodiert und nicht verschlüsselt:

Nach Angaben des Unternehmens ist eine Rückkodierung mit Hilfe eines öffentlich verfügbaren Schemas problemlos möglich. Zudem kann das Gerät so konfiguriert werden, dass es bei jeder Statusänderung eine Nachricht an das E-Mail-Konto des Anwenders sendet.

Zwei Angriffsszenarien

Daraus ergeben sich zwei mögliche Angriffsvarianten: Falls ein Angreifer die MAC-Adresse des Geräts und das Standard-Passwort kennt, ist ein Fernzugriff möglich. Anschließend kann der Hacker Änderungen an der Konfiguration vornehmen und auf die gespeicherten Informationen zugreifen. Diese umfassen auch E-Mail-Adresse und Passwort des Nutzers, falls die Benachrichtigungsfunktion per E-Mail aktiviert ist. Das kann zur vollständigen Kompromittierung des damit verbundenen E-Mail-Kontos führen, wenn dort keine Zwei-Faktor-Authentifizierung eingerichtet ist.

Ebenso ist es möglich, das Root-Passwort per Code Injection zu überschreiben. Der Hacker kann nun und den eingebetteten Telnet-Servic starten. Auch das Einspielen gefährlicher Firmware oder die Nutzung des Geräts für Angriffe auf andere Geräte oder Computer innerhalb des lokalen Netzwerks ist möglich.

Botnets aus intelligenten Steckdosen

"Bislang können die meisten IoT-Schwachstellen nur aus direkter Nähe ausgenutzt werden – aber dieser Fehler erlaubt es Hackern, Geräte über das Internet zu steuern“, sagt Alexandru Balan, Chief Security Researcher bei Bitdefender. "Dies ist eine gefährliche Sicherheitslücke, da sich Botnets aus diesen intelligenten Steckdosen aufbauen lassen."

Auch interessant