3 opzienbarende white hat-hacks en de lessons learned

Ethische hackers testen continu de dikte van de digitale dijken. Vaak simpelweg door zelf in de huid van een kwaadaardige hacker te kruipen. Deze white hat-hacks zijn opvallend door hun spectaculaire methode, maar ook vanwege de alarmerende boodschap die erachter schuilgaat.

1. MouseJack: kwetsbare randapparatuur

Iedereen kent ze wel: de kleine usb-dongels die je in een laptop prikt, zodat de draadloze muis of toetsenbord kan communiceren met je device. De communicatie verloopt niet via bluetooth, maar via een radiosignaal.

Het lukte white hat-hackers van het Internet of Things-beveiligingsbedrijf Bastille om met behulp van een radiodongel van enkele tientjes en een paar regels code in te breken op het radiosignaal. Ze konden tot op honderd meter afstand toetsen aanslaan en de muiscontrole overnemen.

Binnen tien seconden hadden de hackers zo een rootkit geïnstalleerd, verborgen software die de deur openzet voor aanvallers. De hack werd bekend als ‘MouseJack’.

Alleen Logitech kwam met een patch die het probleem verhielp. Veel randapparatuur beschikt niet eens over de mogelijkheid om de firmware bij te werken. Dat maakt deze apparatuur voor altijd kwetsbaar.

Lessons learned:

De hack is niet alleen een waarschuwing voor fabrikanten van muizen en toetsenborden, maar voor alle Internet of Things-fabrikanten. Hun apparaten zijn vaak afhankelijk van draadloze communicatie. En die is in potentie ongezien verstoorbaar.

Een meer algemene les is dat aanvallers via de meest gekke wegen kunnen binnenkomen, ook via iets ogenschijnlijk onschuldigs als een draadloze muis of toetsenbord.

2. Smart lighting met een lek

Een handige toepassing van het Internet of Things is slimme verlichting. Door peertjes te voorzien van draadloze technologie worden ze op afstand met bijvoorbeeld een smartphone regelbaar. Philips heeft met Hue een dergelijk systeem op de markt.

De draadloze verbinding maakt de lampen kwetsbaar voor aanvallen. Onderzoekers slaagden er vorig jaar in de slimme peertjes te hacken. De methode was spectaculair: ze lieten een drone opstijgen met daarin hacksoftware gericht op het draadloze Zigbee-protocol dat de lampen gebruiken.

De drone liet in de lucht op zo’n 300 meter afstand een worm los op de peertjes. De worm besmette vervolgens razendsnel alle naburige slimme lampen. De hackers lieten de lampen daarna het noodsignaal S.O.S. in morsecode uitzenden.

Lessons learned:

De hack herinnerde ons aan de kwetsbaarheid van het Internet of Things in het algemeen en smart city’s in het bijzonder. Want wat met peertjes kan, kan ook met thermostaten, slimme deurvergrendeling, stoplichten of beveiligingscamera's. Bovendien zorgt een Internet of Things-worm voor razendsnelle verspreiding.

Maatregelen tegen dergelijke praktijken zijn in toenemende mate noodzakelijk. Zowel fabrikanten als consumenten moeten hun verantwoordelijkheden nemen.

3. Hackbot: hackers niet altijd van vlees en bloed

Op de jaarlijkse hackerbeurs Defcon vond afgelopen editie een bijzonder experiment plaats. Zeven onderzoekteams namen het tegen elkaar op in een soort hackwedstrijd. De hackers waren echter niet van vlees en bloed, maar van regels code.

De aanvallers hadden een Artificial Intelligence (AI)-bot gebouwd die automatisch op zoek ging naar zwakke plekken in de server van de tegenstander om deze vervolgens te misbruiken. De tegenpartij moest zich tegen de aanvallen verdedigen, ook weer volautomatisch en zonder menselijke interventie.

Op basis daarvan moest de aanvallende partij weer met een slimmere aanval komen, en vice versa. Een sterk staaltje digitale oorlogsvoering met kunstmatige intelligentie en machine learning als wapens.

Lessons learned:

Cybercriminelen ontwikkelen zich nu al duizelingwekkend snel. Maar wanneer machines het ‘denkwerk’ overnemen, zal het tempo nog hoger komen te liggen. Zelflerende algoritmes zijn in potentie vele malen beter in het opsporen en uitbuiten van zwakheden. Dat vereist nieuwe verdedigingsmechanismen, die ook weer gebaseerd zijn op kunstmatige intelligentie.

Deze ‘war of digital intelligence’ vraagt om een nieuwe manier van kijken naar securityproblematiek en -oplossingen. In de toekomst is een hacker wellicht een algoritme.

Meer weten over beveiliging van uw Internet of Things omgeving? Lees dan onze whitepaper ‘'IoT-security’.

Whitepaper: 'IoT-security - Veilig gebruik van het IoT'

Veel IoT-projecten mislukken voortijdig vanwege zorgen over veiligheid en privacy. Vaak onnodig. Ontdek met welke maatregelen uw project wél slaagt.

Download

Is uw ICT-infrastructuur hackerproof?

Security & Business Continuity

De digitale transformatie brengt nieuwe kansen, maar ook nieuwe kwetsbaarheden. KPN biedt de expertise voor ondersteuning in uw continuïteit

Meer informatie

Gerelateerde artikelen