Penelitian terbaru yang dilakukan oleh periset keamanan di perusahaan Check Point menyoroti kekhawatiran privasi seputar perangkat smart home yang diproduksi oleh LG.
Periset Check Point menemukan kerentanan keamanan pada LG SmartThinQ yang memungkinkan penyerang untuk membajak perangkat yang tersambung ke internet (IoT) seperti kulkas, oven, mesin pencuci piring, AC, pengering, dan mesin cuci yang diproduksi oleh LG.
Buruknya, penyerang bahkan bisa mengendalikan LG Hom-Bot secara remote, robot penyedot debu yang dilengkapi kamera, dan mengakses umpan video langsung untuk memata-matai apa saja di sekitar perangkat tersebut.
Peretasan ini bahkan tidak memerlukan penyerang dan perangkat yang ditargetkan untuk berada di jaringan yang sama.
Dijuluki HomeHack, kerentanan berada di aplikasi seluler dan aplikasi cloud yang digunakan untuk mengendalikan peralatan rumah LG SmartThinQ, yang memungkinkan penyerang untuk mengendalikan kontrol alat kendali manapun dari aplikasi yang dikendalikan secara remote.
Kerentanan ini memungkinkan penyerang untuk masuk dari log ke aplikasi cloud SmartThinQ dan mengambil alih akun LG korbannya, menurut para periset.
Simak Video Demonstrasi dari Serangan HomeHack:
Para periset menunjukkan resiko yang ditimbulkan oleh kerentanan ini dengan mengendalikan LG Hom-Bot, yang dilengkapi dengan kamera keamanan serta sensor pendeteksi gerak dan dilaporkan dimiliki oleh lebih dari satu juta pengguna.
Kamu dapat menonton video yang dipublikasi oleh periset Check Point, yang menunjukkan betapa mudahnya membajak alat dan menggunakannya untuk memata-matai pengguna dan rumah mereka.
Masalahnya adalah dengan cara aplikasi SmartThinQ memproses proses masuk, dan mengeksploitasi kerentanan hanya membutuhkan penyerang dengan keterampilan moderat untuk mengetahui alamat email target, dan tidak ada yang lain.
Karena yang penyerang butuhkan hanyalah melewati proses login, tidak perlu mereka berada di jaringan yang sama dengan korbannya, dan tips keamanan utama dari IoT seperti menghindari penggunaan kredensial default, dan selalu menggunakan kata sandi aman juga tidak berpengaruh di sini.
Selain itu, perangkat seperti itu yang seharusnya memberi pengguna akses jarak jauh dari sebuah aplikasi tidak dapat diletakkan di belakang firewall untuk menjauhkan mereka dari keterpaparan di Internet.
Untuk melakukan peretasan ini, penyerang memerlukan perangkat yang mengharuskan penghadangan lalu lintas aplikasi dengan server LG.
Namun, aplikasi LG memiliki mekanisme anti-root built-in, yang segera ditutup jika mendeteksi ponsel cerdas rooted, dan mekanisme anti-root SSL, yang membatasi lalu lintas yang menghadang.
Jadi, untuk melewati kedua fitur keamanan tersebut, periset Check Point mengatakan bahwa peretas pertama-tama dapat mendekompilasi kode sumber aplikasi tersebut, menghapus fungsi yang memungkinkan penyematan dan anti-root SSL dari kode aplikasi, mengkompilasi ulang aplikasi dan menginstalnya pada perangkat mereka.
Sekarang, peretas dapat menjalankan aplikasi ini di smartphone mereka dan dapat menyiapkan proxy yang memungkinkan mereka menghadang lalu lintas aplikasi.
Inilah Cara Kerja Serangan HomeHack
Periset menganalisis proses masuk aplikasi SmartThinQ dan menemukan bahwa itu berisi permintaan berikut:
- Permintaan otentikasi – pengguna akan memasukkan kredensial masuknya, yang akan divalidasi oleh server backend perusahaan.
- Permintaan tanda tangan – membuat tanda tangan berdasarkan nama pengguna yang diberikan di atas (yaitu alamat email), dan tanda tangan ini tidak ada hubungan dengan kata sandinya.
- Permintaan Token – token akses untuk akun pengguna dihasilkan dengan menggunakan respons tanda tangan sebagai header dan nama pengguna sebagai parameter.
- Permintaan masuk – mengirimkan token akses yang dihasilkan di atas agar pengguna dapat masuk ke akun.
Namun, peneliti menemukan bahwa tidak ada ketergantungan antara langkah pertama dan kedua hal berikutnya yang disebutkan di atas.
Jadi, penyerang pertama-tama menggunakan nama penggunanya untuk melewati langkah pertama, lalu menghadang lalu lintas untuk mengubah nama pengguna menjadi nama pengguna korban untuk langkah dua dan tiga, yang secara efektif akan memberikan akses penyerang ke akun korban.
Setelah mengendalikan akun korban, penyerang dapat mengendalikan perangkat LG atau alat yang terkait dengan akun tersebut, termasuk lemari es, oven, mesin pencuci piring, mesin cuci dan pengering, AC, dan pembersih vakum robot.
Penyerang kemudian dapat mengubah pengaturan pada perangkat yang diretas, atau hanya bisa dinyalakan atau dimatikan.
Periset mengungkapkan kerentanan di produk LG tersebut di temukan pada 31 Juli lalu dan pabrikan perangkat tersebut mengeluarkan update untuk memperbaiki masalah tersebut pada bulan September.
Jadi, jika kamu memiliki perangkat LG SmartThinQ, kamu sangat disarankan untuk melakukan update ke aplikasi mobile LG SmartThinQ ke versi terbaru (1.9.23) melalui Google Play Store, Apple App Store atau pengaturan SmartThinQ LG.
