Los investigadores convierten Amazon Echo en un dispositivo de espionaje
Investigadores de la empresa de seguridad cibernética Checkmarx han encontrado la manera de convertir un altavoz inteligente Amazon Echo (Alexa) en un dispositivo de escucha.
No utilizaron una vulnerabilidad en el dispositivo Echo o en el servicio Alexa, sino que simplemente utilizaron las opciones disponibles en el kit de desarrollo de software Alexa (SDK), normalmente disponible para los desarrolladores de aplicaciónes para Alexa.
Los investigadores abusaron de las características de Alexa SDK, como las skills, intenciones, slots, reprompts o parámetros de final de sesión. Todos estos son términos técnicos y los investigadores explicaron lo que significan y cómo los combinaron en este informe de dos páginas.
La aplicación maliciosa de Alexa permanece abierta más de lo previsto
Pero en una explicación simple, el equipo de Checkmarx dice que utilizó el SDK de Alexa para crear una aplicación de calculadora que continúa escuchando después de proporcionar al usuario una respuesta a la pregunta inicial.
Abusaron de un parámetro llamado "shouldEndSession", que establecieron en falso, lo que significa que la aplicación calculadora maliciosa esperaría una segunda pregunta del usuario, justo después de la respuesta a la primera, pero sin que el usuario tenga que decir "Alexa, abre la calculadora".
Por diseño, Alexa permaneció abierta y grabó audio circundante, esperando la segunda pregunta. Esto significaba que Alexa estaba transcribiendo todo el audio en palabras almacenadas dentro de las llamadas slots, visibles para el desarrollador de la aplicación en los registros de la aplicación.
Los desarrolladores también abusaron de un parámetro de Alexa SDK llamado "reprompt", que normalmente es utilizado por las aplicaciones para solicitar al usuario que repita su entrada. Junto con el parámetro "shouldEndSession" que le dijo a Alexa que escuche en silencio la segunda pregunta, esto amplió el intervalo de grabación en otros 8 segundos hasta un total de 16.
El video de demostración a continuación muestra cómo se llevaría a cabo tal truco, y qué tan difícil sería para un usuario detectarlo.
Los investigadores dijeron que revelaron este escenario de explotación a los desarrolladores de Amazon Alexa, que trabajaron y lanzaron medidas de protección.
Según los investigadores, Amazon lanzó una actualización de Alexa que detecta repeticiones vacías y sesiones más largas de lo habitual, tomando las medidas adecuadas.
Esta tampoco es el primer fallo de seguridad que afecta a los dispositivos Alexa. En septiembre de 2017, los investigadores descubrieron DolphinAttack, una forma de hacerse cargo de los altavoces inteligentes del hogar, como Echo, utilizando ultrasonidos. Alexa también se vio afectada por la vulnerabilidad BlueBorne.