компания Check Point Software Technologies Ltd. (NASDAQ: CHKP), ведущий поставщик решений по кибербезопасности во всем мире, объявила об обнаружении HomeHack — уязвимости, из-за которой миллионы домашних смарт-устройств SmartThinkQ могли оказаться под угрозой взлома и удаленного управления.
Уязвимости в мобильном и облачном приложениях LG SmartThinkQ позволили исследователям Check Point удаленно войти в облачное приложение SmartThinQ, и, завладев учетной записью LG, получить контроль над пылесосом и встроенной в него видеокамерой. Получив контроль над учетной записью конкретного пользователя LG, злоумышленник может контролировать любое устройство LG или устройство, связанное с этой учетной записью, включая пылесосы, холодильники, плиты, посудомоечные и стиральные машины, фены и кондиционеры.
Уязвимость HomeHack дает хакерам возможность следить за домашней жизнью пользователей с помощью видеокамеры робота-пылесоса Hom-Bot, которая в режиме реального времени отправляет видео в приложение LG SmartThinQ в рамках функции HomeGuard Security. В зависимости от моделей устройств LG злоумышленники могут также включать и отключать посудомоечные или стиральные машины.
"Поскольку все больше и больше умных устройств используются дома, хакеры перейдут от атак на персональные гаджеты на взлом приложений, через которые можно удаленно контролировать целую сеть устройств. Так у киберпреступников будет еще больше возможностей использовать уязвимости в ПО, вызывать сбои в домах и получать доступ к конфиденциальной информации, — говорит Одед Вануну, глава подразделения Check Point Software Technologies по исследованиям уязвимостей. — Пользователи должны знать о рисках безопасности и конфиденциальности при использовании IoT-устройств. Важно, чтобы рынок интернета вещей сосредоточился на защите умных устройств от атак за счет внедрения надежной защиты при разработке программного обеспечения и устройств".
Уязвимости в мобильном приложении SmartThinQ позволили исследователям Check Point создать поддельную учетную запись LG, а затем использовать ее, чтобы завладеть учетной записью и умными устройствами пользователя LG. Компания Check Point обнаружила уязвимость 31 июля 2017 года и сообщила об этом LG, соблюдая политику конфиденциальности информации. В конце сентября LG устранила уязвимости в приложении SmartThinQ, о которых сообщил Check Point. "К счастью, LG подошли со всей ответственностью к решению этой проблемы и приняли меры, чтобы предотвратить возможное использование уязвимостей в приложении и на устройствах" — говорит Одед Вануну.
"В рамках миссии LG Electronics по улучшению жизни потребителей во всем мире мы расширяем нашу линейку умных домашних устройств следующего поколения, а также уделяем приоритетное внимание разработке безопасных и надежных программ, — говорит Кунсок Ли, руководитель подразделения умных разработок и умных решений BD, LG Electronics. — В августе LG Electronics объединилась с Check Point Software Technologies, чтобы вместе запустить процесс поиска проблем с безопасностью, и немедленно приступила к выпуску исправлений. Начиная с 29 сентября система безопасности запустила обновлённую версию 1.9.20 без каких бы то ни было проблем. LG Electronics планирует продолжать совершенствовать системы безопасности ПО, а также сотрудничать с такими поставщиками решений по кибербезопасности, как Check Point, для разработки более защищённой и удобной техники".
Для защиты от возможного взлома пользователям мобильных приложений и устройств LG SmartThinQ необходимо обновить их до последних версий ПО с сайта LG. Check Point рекомендует пользователям выполнить следующие действия для защиты умных устройств и домашних сетей Wi-Fi от вторжения и возможности удаленного управления:
Видео о том, как атака может быть проведена, можно посмотреть здесь.
Чтобы узнать больше об этой уязвимости, посетите блог Check Point blog.