Un hacker a pris le contrôle d’une enceinte connectée de Google

Matt Kunze, chercheur en cyber et hacker éthique, est parvenu à pirater une enceinte Google Home au point de pouvoir enregistrer des coups de fil. Le géant de la tech a corrigé le bug à la suite de cette découverte.

C’est la crainte principale de tous les détenteurs d’un assistant vocal. Une vulnérabilité dans l’enceinte connectée de Google permettait d’installer des logiciels espions pour écouter les utilisateurs. Le chercheur en cyber Matt Kunze, à l’origine de cette découverte, détaille son piratage dans un article publié le 26 décembre sur son blog. Google a récompensé l’expert avec un chèque de 107 500 dollars. La faille avait été discrètement signalée par Matt Kunze au géant de la tech il y a un an déjà, elle a été corrigée depuis.

Comme souvent, la découverte de cette vulnérabilité part d’un simple test. Le chercheur s’est intéressé à sa propre mini enceinte Google Home. Il a commencé par scanné l’interface de programmation du cloud pour comprendre comment fonctionne l’ajout de nouveaux compte. Il a ensuite configuré un proxy — un relais entre le serveur et l’objet connecté — pour capturer le trafic et récupérer le jeton de connexion.

Matt Kunze a démontré en vidéo qu’il peut enregistrer à distance un coup de fil.

Le hacker éthique a découvert que l’ajout d’un nouvel utilisateur sur l’appareil cible est un processus en deux étapes qui nécessite le nom de l’appareil, le certificat et l’identifiant cloud. Avec ces informations, il peut ensuite envoyer une demande de lien au serveur Google. Une fois le compte lié, l’attaquant peut commencer à exfiltrer des données ou lancer des requêtes.

Une porte d’entrée pour tout pirater

À partir de là, les possibilités sont nombreuses. Le pirate peut se tourner vers tous les objets connectés à la Google Home : interrupteur, serrure, télé. Plus inquiétant, le chercheur a trouvé un moyen de programmer l’activation du micro dès que la commande « appeler » est prononcée. Pendant le coup de fil, le voyant de l’appareil devient bleu, ce qui est la seule indication qu’une activité est en cours. Si la victime le remarque, elle peut supposer que l’appareil met à jour son micrologiciel.

L'activation de l'enregistrement de l'appel à distance. // Source : downrightnifty.me — L’activation de l’enregistrement de l’appel à distance. // Source : downrightnifty.me

Google a corrigé toutes ces failles en avril 2021. La mise à jour inclut un nouveau système basé sur les invitations pour gérer les liens de compte, qui bloque toute tentative non ajoutée sur Home. Quant à la commande « appeler », le géant de la tech a ajouté une protection pour empêcher son déclenchement à distance. Pour l’instant, seuls des hackers éthiques ont pris le contrôle d’enceintes connectées, mais on ne reste pas à l’abri d’un logiciel espion lorsque l’on découvre ces failles.

Pour aller plus loin