Chuyên gia bảo mật Matt Kunze là người phát hiện ra lỗ hổng nghiêm trọng này. Khi mày mò trên chiếc loa Nest Mini của mình, ông nhận thấy có thể thêm vào một tài khoản giả mạo thông qua ứng dụng Google Home. Sau đó, kẻ xấu sẽ có quyền điều khiển các thiết bị từ xa thông qua API trên nền tảng đám mây.
Cụ thể, bằng cách quét Nmap, nhà nghiên cứu đã tìm thấy cổng API HTTP nội bộ của Google Home, bởi vậy ông thiết lập một proxy để nắm bắt lưu lượng HTTPS được mã hóa, với hy vọng lấy được token hợp lệ của người dùng.
Nhà nghiên cứu cũng phát hiện quy trình thêm người dùng mới vào thiết bị gồm 2 bước, cần có tên thiết bị, chứng chỉ và “ID cloud” từ API nội bộ. Với thông tin này, kẻ xấu có thể gửi yêu cầu liên kết đến máy chủ Google.
Để thêm người dùng giả mạo vào thiết bị Google Home mục tiêu, nhà nghiên cứu đã triển khai quy trình liên kết trong tập lệnh Python để tự động lọc dữ liệu thiết bị nội bộ và sao chép yêu cầu liên kết.
Tin tặc có thể theo dõi người dùng, sử dụng micro và các tính năng khác của thiết bị, thực hiện các yêu cầu HTTP trên hệ thống mạng hoặc thậm chí đọc/ghi tệp trên thiết bị. Đáng ngại hơn, tin tặc có thể kích hoạt lệnh gọi của loa thông minh từ xa, cho phép thiết bị của bạn gọi đến chúng vào bất kỳ thời điểm nào và nghe lén các cuộc trò chuyện diễn ra trong nhà.
“Điều duy nhất mà nạn nhân có thể nhận thấy là đèn LED của thiết bị chuyển sang màu xanh lam đặc, nhưng có lẽ họ chỉ cho rằng nó đang cập nhật chương trình cơ sở hoặc thứ gì đó,” Matt nói. Trong khi gọi, đèn LED không nhấp nháy như thường thấy khi thiết bị đang nghe, vì vậy không có dấu hiệu nào cho thấy micrô đang mở. Nạn nhân phát hiện cũng chỉ nghĩ đơn giản rằng thiết bị đang cập nhật chương trình cơ sở.
Nhà nghiên cứu đã công bố POC cho các hoạt động khai thác trên. Tuy nhiên, việc khai thác không thể thực hiện trên các thiết bị Google Home chạy phiên bản firmware mới nhất./.
