近日據悉,SRLabs 的安全分析師,找到了一種利用 Google 和 Amazon 智能揚聲器進行網絡釣魚和竊聽用戶的新漏洞。
在此之后,他上傳了看似無害的 Alexa Skills 和 Google Actions 自定義操作技能,以測試該漏洞是否會輕易得逞。由視頻演示可知,一位 SRLabs 研究人員向 Google Home 索要了一個隨機數,由其產生并發出聲音。
即便 Actions 已執行完成,程序仍保持后臺監聽的狀態。之后,第三方計算機收到了用戶所述內容的抄錄。
至于 Alexa,安全分析師也創建了一個簡單的“星座技巧”,要求 Alexa 對其進行“幸運解讀”。
Alexa 會詢問用戶的十二星座,之后開始監聽相關的星座運勢讀數、同時麥克風一直在后臺保持監聽。
即便被告知停止操作,Alexa 仍會繼續監聽房間內發出的聲音,并將其發送至接收端的軟件。
研究人員還能夠讓講述人發出虛假的錯誤信息。比如在一分鐘后發出另一個偽造的錯誤,誘騙用戶自曝賬號密碼。
SRLabs 至始至終都在利用同一個漏洞。該缺陷使得他們能夠持續地向智能揚聲器提供無法言語的一系列字符 U+D801、點、空格。
即便設備保持著‘靜音’的狀態,‘算法’也能夠維持對用戶展開監聽的信道的暢通。
谷歌和亞馬遜不會對安裝在其智能揚聲器上的軟件技能展開仔細的檢查,惡意團體或輕易將間諜軟件添加到應用程序的補丁中,而無需另行通知。
關鍵詞: