Un team di ricercatori delle università del Texas (San Antonio) e del Colorado hanno dimostrato che è possibile eseguire attacchi silenziosi contro smart speaker, smartphone e altri dispositivi IoT. NUIT (Near-Ultrasound Inaudible Trojan) sfrutta l’invio di comandi vocali non udibili dagli esseri umani. È chiaro il pericolo se il dispositivo viene usato per controllare l’apertura/chiusura delle porte.
Aprire la porta con comandi ad ultrasuoni
I ricercatori hanno effettuato numerosi test, confermando che l’attacco NUIT funziona con i principali assistenti digitali, ovvero Amazon Alexa, Google Assistant, Apple Siri e Microsoft Cortana. L’ignaro utente deve solo avviare la riproduzione di un video (ad esempio su YouTube) con audio a frequenza compresa tra 16 e 20 kHz. Il comando vocale, che l’orecchio umano non può ascoltare, viene rilevato dal microfono dello smart speaker.
L’attacco può essere eseguito in due modi. Il primo prevede che il dispositivo (ad esempio uno smartphone) sia sorgente e bersaglio allo stesso tempo. L’audio emesso dall’altoparlante viene rilevato dal microfono, quindi l’assistente esegue il comando, ad esempio l’apertura di una porta o la disattivazione del sistema di allarme.
Il secondo metodo prevede due dispositivi diversi. Ad esempio un notebook che esegue l’audio e uno smart speaker o uno smartphone che riceve il comando.
Un cybercriminale potrebbe inviare prima un comando per abbassare il volume del dispositivo e poi il comando per eseguire l’azione. Nel caso degli smart speaker, il comando deve avere una durata inferiore a 77 millisecondi.
Per non correre rischi è consigliato impostare il riconoscimento dei comandi solo la propria voce, come avviene con Apple Siri. Gli altri assistenti possono essere attivati con qualsiasi voce. In alternativa è possibile usare gli auricolari per ascoltare l’audio, invece degli altoparlanti.
Ti potrebbe interessare
26 mar 2023