Pesquisadores universitários americanos desenvolveram um novo tipo de ataque chamado "Near-Ultrasound Inaudible Trojan" (NUIT), que pode lançar ataques silenciosos contra dispositivos com assistentes de voz, como smartphones, alto-falantes inteligentes e outros dispositivos IoT.
A equipe de pesquisadores é composta pela professora Guenevere Chen, da Universidade do Texas em San Antonio (UTSA), sua estudante de doutorado Qi Xia e o professor Shouhuai Xu da Universidade do Colorado (UCCS).
A equipe demonstrou ataques NUIT contra assistentes de voz modernos encontrados em milhões de dispositivos, incluindo o Siri da Apple, o Assistant do Google, o Cortana da Microsoft e o Alexa da Amazon, mostrando a capacidade de enviar comandos maliciosos para esses dispositivos.
O principal princípio que torna o NUIT eficaz e perigoso é que os microfones nos dispositivos inteligentes podem responder a ondas de ultrassom próximas que o ouvido humano não pode ouvir, realizando assim o ataque com risco mínimo de exposição, mas ainda usando a tecnologia convencional de alto-falantes.
Em um post no site da USTA, Chen explicou que o NUIT poderia ser incorporado a sites que reproduzem mídia ou vídeos do YouTube, assim, enganar alvos para visitar esses sites ou reproduzir mídia maliciosa em sites confiáveis é relativamente simples em casos de engenharia social.
Os pesquisadores afirmam que os ataques NUIT podem ser realizados usando dois métodos diferentes.
O primeiro método, NUIT-1, é quando um dispositivo é tanto a fonte quanto o alvo do ataque.
Por exemplo, um ataque pode ser lançado em um smartphone tocando um arquivo de áudio que faz com que o dispositivo execute uma ação, como abrir uma porta da garagem ou enviar uma mensagem de texto.
O outro método, NUIT-2, é quando o ataque é lançado por um dispositivo com alto-falante para outro dispositivo com microfone, como um site para um alto-falante inteligente.
"Se você reproduz o YouTube na sua smart TV, essa smart TV tem um alto-falante, certo? O som dos comandos maliciosos do NUIT se tornará inaudível e também pode atacar o seu celular e se comunicar com seus dispositivos Google Assistant ou Alexa", explicou G. Chen.
"Até mesmo pode acontecer em Zooms durante reuniões. Se alguém desmuta, pode incorporar o sinal de ataque para hackear seu telefone que está próximo ao seu computador durante a reunião."
Chen explicou que o alto-falante de onde o NUIT é lançado precisa ser ajustado para acima de um certo nível de volume para o ataque funcionar, enquanto os comandos maliciosos duram apenas 0,77 segundos.
Os cenários de ataque demonstrados pelos pesquisadores envolvem o envio de comandos para dispositivos IoT conectados ao smartphone, como destrancar portas ou desativar alarmes residenciais, com pouco risco de a vítima perceber essa atividade.
No entanto, como os assistentes virtuais também podem executar ações como abrir sites, os atacantes podem levar os smartphones a sites "watering hole" que podem ser usados para baixar malware no dispositivo, explorando uma vulnerabilidade em seu navegador sem interação da vítima.
Os pesquisadores testaram 17 dispositivos populares que executam assistentes de voz e descobriram que todos eles podem ser controlados usando qualquer voz, até mesmo gerada por robô, exceto o Siri da Apple, que requer a emulação ou roubo da voz do alvo para aceitar comandos.
Portanto, se você puder se autenticar em seu dispositivo inteligente usando sua impressão vocal, é recomendável que você ative este método de segurança adicional.
Chen também aconselhou os usuários a monitorar seus dispositivos de perto para ativações do microfone, que têm indicadores dedicados na tela em smartphones iOS e Android.
Por fim, usar fones de ouvido em vez de alto-falantes para ouvir algo ou transmitir som protege efetivamente contra o NUIT ou ataques semelhantes.
Os detalhes completos do ataque NUIT serão apresentados no 32º Simpósio de Segurança USENIX, programado para 9 e 11 de agosto de 2023, no Anaheim Marriott em Anaheim, Califórnia, EUA.
Publicidade
O curso Python Básico da Solyd oferece uma rápida aproximação à linguagem Python com diversos projetos práticos. Indo do zero absoluto até a construção de suas primeiras ferramentas. Tenha também suporte e certificado gratuitos. Saiba mais...