Der gehackte Thermostat fordert Bitcoins. Quelle: Pentesptartners
Zwei Entwickler der Sicherheitsfirma Pentestpartners haben bei der Defcon 24 gezeigt, dass es ihnen ohne große Mühe in einigen Tagen möglich war, einen dem Internet of Things zuzuordnenden Thermostaten für die Homeautomation zu hacken.
Die beiden Entwickler, Andrew Tierney und Ken Munro, betonen, dass es bei der Demonstration beim IoT-Teil der Defcon darum gegangen sei, die Möglichkeit aufzuzeigen. Die Hersteller, so hoffen die beiden, sollten ihre Geräte sicherer machen und die Lücken, die den Angriff ermöglichten schließen.
Der gehackte Thermostat fordert Bitcoins. Quelle: Pentesptartners
Im Fall des gehackten Thermostats, der mit einem ARM-Board und Linux und einem LCD-Screen bestückt ist, führte der Angriff letztlich über die im Thermostat für Nutzerprofile integrierte SD-Karte. Die Karte speichert nicht nur die vom Nutzer gewünschten Temperaturprofile, nebst Bildschirmschonern und dergleichen, sie enthält auch eine Funktion namens Firmware. Die wiederum lässt sich über das zum Editieren des Inhalts auf der SD-Karte genutzte Adobe Air herunterladen und entpacken. Wie sich nach Anwendung einiger Tools zeigte, war nahezu die gesamte Funktionalität des Thermostats in ein großes, monolithisches Binary gepackt, das über Root-Rechte verfügt.
Das weitere Vorgehen ist im Blog von Andrew Tierney und Ken Munro bei Pentestpartners nachzulesen. Die beiden beließen es dabei, den Angriff mit einem Screensaver abzuschließen, der Bitcoins für die mit Ransomware geblockten Funktionen fordert und drohten damit, die Heizung auf 99 Grad aufzudrehen. Der Thermostat enthält nach den Angaben im Blog aber auch die Option, Heizung und Klimaanlage gleichzeitig zu aktivieren und einige für die Hausbewohner unangenehme und teure Dinge mehr.
Der Angriff über die SD-Karte war zwar lokal, nach den Erkenntnissen der beiden Hacker kontrolliert der Thermostat aber nicht, was er für Dateien ausführt. Es wäre letztlich möglich, dem Nutzer ein präpariertes Bild oder eine Anwendung unterzujubeln.
