Glühbirne gehackt: Die dunkle Seite des Smart Lighting

Kriminelle können Schwachstellen im beliebten ZigBee-Protokoll ausnutzen, um intelligente Glühbirnen und deren Controller zu übernehmen. Lösegeldforderungen oder Spyware sind die Folge. Was passiert und wie funktioniert das ganze: Glühbirne gehackt.

Die dunkle Seite des Smart Lighting

Check Point Research, die Threat Intelligence-Abteilung von Check Point, zeigte, wie ein Angreifer ein IoT-Netzwerk (intelligente Glühbirnen und ihre Kontrollbrücke) ausnutzen konnte, um Angriffe auf herkömmliche Netzwerke in Privathaushalten, Unternehmen oder sogar intelligenten Städten zu starten. Die Sicherheits-Forscher konzentrierten sich auf die marktführenden Glühbirnen und ihre Steuerungseinheiten von Philips Hue und fanden Schwachstellen (CVE-2020-6007). Diese ermöglichten ihnen, Netzwerke mit Hilfe eines Remote-Exploits im ZigBee-drahtlos-Protokoll für geringen Stromverbrauch zu infiltrieren, das derzeit zur Steuerung einer Vielzahl von IoT-Geräten verwendet wird.

Glühbirne gehackt

In einer Analyse der Sicherheit von ZigBee-gesteuerten, intelligenten Glühbirnen, die 2017 veröffentlicht wurde, konnten Forscher bereits die Kontrolle über eine Philipps Hue-Glühbirne in einem Netzwerk übernehmen, bösartige Firmware darauf installieren und sich auf benachbarte Glühbirnen ausbreiten. Unter Ausnutzung dieser verbleibenden Schwachstelle beschlossen die Check-Point-Forscher, einen Schritt weiter zu gehen und die Glühbirne als Plattform zu verwenden, um die Kontrolleinheit der Glühbirnen zu übernehmen und schliesslich das Heimnetzwerk anzugreifen. Jüngere Modelle der Hue-Glühbirnen weisen die Schwachstelle nicht mehr auf.

Das Angriffsszenario sieht wie folgt aus

1. Der Hacker kontrolliert die Farbe oder Helligkeit der Glühbirne, um die Benutzer glauben zu machen, die Glühbirne habe eine Störung. Sie erscheint in der Kontrollanwendung als ‚Unerreichbar‘, weswegen der Käufer versuchen wird, das Leuchtmittel ‚zurückzusetzen‘.
2. Die einzige Möglichkeit aber, die Glühbirne ‚neu zu starten‘, besteht darin, sie aus der Anwendung zu löschen und den Controller anzuweisen, die Glühbirne wieder zu finden.
3. Diese entdeckt die kompromittierte Glühbirne wie gewohnt und der Benutzer fügt sie in sein Netzwerk ein.
4. Die von Hackern kontrollierte Lampe mit schädlicher Firmware nutzt dann die Schwachstellen des ZigBee-Protokolls, um einen Heap-basierten Pufferüberlauf auf der Steuerung auszulösen, wofür sie eine sehr grosse Datenmenge sendet. Diese Datenpakete ermöglichen es dem Hacker zudem, heimlich eine Malware auf dem Controller zu installieren – der wiederum mit dem restlichen Netzwerk verbunden ist.
5. Die Malware verbindet sich mit dem Hacker und kann über eine bekannte Schwachstelle (wie EternalBlue) von der Kontrollbrücke aus in das Ziel-IP-Netzwerk eindringen, um Ransomware- oder Spyware zu verbreiten.

Glühbirne gehackt: Die Lösung

„Viele von uns sind sich bewusst, dass IoT-Geräte ein Sicherheitsrisiko darstellen können, aber diese Forschung zeigt, wie selbst die banalsten, scheinbar ‚dummen‘ Geräte, wie Glühbirnen, von Hackern ausgenutzt werden können, um Netzwerke zu übernehmen oder Malware zu verbreiten“, erklärt Yaniv Balmas, Head of Cyber Research bei Check Point: „Es ist entscheidend, dass Unternehmen und Einzelpersonen sich vor diesen möglichen Angriffen schützen, weswegen sie ihre Geräte mit den neuesten Patches aktualisieren und zusätzlich von anderen Maschinen in ihren Netzwerken trennen sollten, um die mögliche Verbreitung von Malware zu begrenzen.