Фахівці компанії Guardicore виявили низку уразливостей в пульті дистанційного керування XR11 для абонентів компанії Xfinity (дочірня компанія американської телекомунікаційної корпорації Comcast).
За їх словами, за допомогою уразливостей зловмисники можуть перетворити пульт від телевізора в шпигунський пристрій.
XR11 дозволяє користувачам перемикати канали, вибирати програми і виконувати інші дії за допомогою голосових команд. В ході дослідження фахівці Guardicore використовували пульт для телевізійної приставки Xfinity X1.
Перший етап атаки, що отримала назву WarezTheRemote, передбачає віддалену установку на XR11 шкідливої версії прошивки. Для передачі сигналу на телевізійну приставку пристрій використовує не інфрачервоні промені, як звичайні пульти, а радіохвилі. Оскільки довжина радіохвилі набагато більше, ніж ІК-випромінювання, зловмисники можуть здійснити атаку, навіть перебуваючи досить далеко.
З’єднання між пультом і приставкою шифрується, проте механізм перевірки в прошивці відсутній. Іншими словами, зловмисники можуть відправляти шкідливі відповіді в незашифрованому вигляді.
Кожні 24 години пульт автоматично перевіряє наявність доступних оновлень прошивки, відправляючи приставці відповідний запит. За словами дослідників, зловмисники можуть підробити відповідь від приставки і повідомити пульту про наявність оновлень прошивки.
Фахівці змогли не тільки відправити пульту шкідливе оновлення прошивки шляхом підробки відповідей від приставки, але також викликати відмову в обслуговуванні приставки, щоб вона не могла втрутитися в процес атаки.
Дослідники здійснили реверс-інжиніринг прошивки і змогли внести невеликі зміни, що дозволяють віддалено включати мікрофон пульта. Аудіо передавалося радіохвилями, забезпечуючи можливість підслуховувати розмови користувачів.
Компанія Comcast була повідомлена про уразливість в квітні нинішнього року, і 14 липня почалося розгортання патчів. Виправляюча уразливості версія прошивки 1.1.4.0 була розіслана на всі пристрої 24 вересня.
Радимо звернути увагу на поради, про які писав Cybercalm, а саме:
Шахрайство, оманливий дизайн, або як торгові сайти змушують Вас витрачати більше?
Найпоширеніші схеми кіберзлочинців та способи захисту від них. Поради
Як користуватися спеціальними піктограмами програм на Вашому iPhone та iPad? – ІНСТРУКЦІЯ
Як перемістити програми з бібліотеки додатків на головний екран на iPhone?– ІНСТРУКЦІЯ
Чим Вам загрожує підключення невідомих USB? Поради із захисту
Як зробити Chrome веб-браузером за замовчуванням на iPhone та iPad? – ІНСТРУКЦІЯ
Кібератаки та шкідливі програми – одна з найбільших загроз в Інтернеті. Дізнайтеся з підбірки статей, як виникло шкідливе програмне забезпечення та які є його види, що таке комп’ютерний вірус, про усі види шкідливого ПЗ тощо.
До речі, дослідники розкрили подробиці про критичну уразливість в додатку Instagram для Android, експлуатація якої дозволяла віддаленим зловмисникам перехопити контроль над цільовим пристроєм шляхом відправки спеціально створеного зображення.
Цікаво знати, що кіберполіція затримала злочинну групу, яка за допомогою скімінгових пристроїв виготовляла дублікати банківських карток. Далі з цих карток знімали готівку. За це зловмисникам загрожує до 12 років ув’язнення.
Також після додавання до свого функціоналу аудіо-твітів для iOS у червні, Twitter зараз експериментує з ідеєю дозволити людям записувати та надсилати голосові повідомлення за допомогою прямих повідомлень.
Важливо знати, що хакерам вдалося обійти захист iOS 14 на пристроях, що базуються на процесорі Apple A9.
