• Saltar al contenido principal
  • Saltar a la barra lateral principal
  • Saltar al pie de página

Una al Día

Boletín de noticias de Seguridad Informática ofrecido por Hispasec

Usted está aquí: Inicio / Ataques / Perfeccionan la técnica que compromete asistentes de voz con ultrasonidos

Perfeccionan la técnica que compromete asistentes de voz con ultrasonidos

3 marzo, 2020 Por Jesús Álvarez Deja un comentario

Desde la presentación en 2017 de la técnica DolphinAttack, sabemos que es posible inyectar comandos por ultrasonido a través de asistentes inteligentes como Siri o Google Assistant.
Existe un efecto de «no linealidad» en los micrófonos de los teléfonos inteligentes y en los altavoces conectados: la señal eléctrica que generan a partir de un ultrasonido no sólo incluirá altas frecuencias, sino también bajas frecuencias que pueden ser interpretadas por el asistente.

Este fenómeno fue interesante, pero no muy explotable en la realidad. El DolphinAttack sólo era posible si el hacker tenía un altavoz a menos de un metro del dispositivo objetivo. Pero un grupo de cinco investigadores ha ideado un método llamado SurfingAttack, que puede extender la distancia a más de nueve metros y hacer el ataque más discreto. ¿Cómo? Emitiendo el ultrasonido a través de la superficie en la que se coloca el objeto.

De hecho, los investigadores cuelgan un componente de PZT (titano-circonato de plomo) en la parte inferior de una mesa, cuyas propiedades piezoeléctricas transmiten la señal ultrasónica al material del mueble. Luego se propaga en todas las direcciones hasta que llega al dispositivo de destino, y esto con toda discreción. No sólo el sonido de esta propagación es inaudible, sino que sus vibraciones son también imperceptibles.

Y hay algo mejor. Añadiendo un micrófono al componente y ajustando el volumen del dispositivo objetivo lo más bajo posible, es posible llevar a cabo verdaderos intercambios de comunicación. Esto abre la posibilidad de hackeos bastante complejos como el robo de un código SMS de un solo uso o llamadas fraudulentas. En un vídeo de demostración, los investigadores muestran estos diferentes escenarios de ataque.

Los investigadores probaron con éxito su ataque en quince modelos de smartphones, incluyendo el Pixel, el Galaxy y el iPhone. Sin embargo, el ataque no funciona con los altavoces conectados a Amazon Echo o Google Home, posiblemente debido a su estructura interna. Los investigadores también probaron diferentes materiales de propagación. Los mejores resultados se obtuvieron con una mesa de aluminio, que permitió alcanzar una distancia de ataque de 9,1 metros. El material menos favorable para la propagación de los ultrasonidos es el aglomerado (unos 50 cm). El hecho de que la mesa esté desordenada o despejada no afecta a los resultados.

Una forma sencilla de protegerse contra este tipo de ataque es colocar el smartphone sobre un trozo de tela ligeramente gruesa o sobre un pequeño cojín. Las vibraciones ultrasónicas serán entonces totalmente absorbidas y no llegarán al micrófono.

Más información:
Github – SurfingAttack
https://surfingattack.github.io/
engsnews24h
https://engnews24h.com/these-researchers-perfected-the-technique-of-hacking-voice-assistants-via-ultrasound/

Compártelo:

  • Twitter
  • Facebook
  • LinkedIn
  • Reddit
  • Telegram
  • WhatsApp

Publicaciones relacionadas

Libros recomendados

Arduino para Hackers

Open Source INTelligence (OSINT)

Técnicas de Análisis Forense

Publicado en: Ataques, Vulnerabilidades Etiquetado como: dolphinattack, siri, surfingattack, ultrasonido, voice assistants

Interacciones con los lectores

Deja una respuesta Cancelar la respuesta

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Barra lateral principal

Buscador

Email Newsletter

Suscríbase y reciba Una al Día en su correo.

UADCAST

Populares de UAD

  • Troyano bancario Coper afecta a nuevas entidades alrededor del mundo.
  • La Europol detiene a una banda responsable de robar millones a través de ataques phishing.
  • Un contratista municipal sale de copas después del trabajo y pierde un pendrive con datos personales de casi medio millón de residentes
  • NSO Group confirma que el software espía Pegasus ha sido utilizado por al menos 5 países europeos
  • La estafa del “Servicio de Verificación DHL”

Entradas recientes

  • El malware FluBot es eliminado en una operación mundial de las fuerzas del orden
  • La Europol detiene a una banda responsable de robar millones a través de ataques phishing.
  • Troyano bancario Coper afecta a nuevas entidades alrededor del mundo.
  • Un contratista municipal sale de copas después del trabajo y pierde un pendrive con datos personales de casi medio millón de residentes
  • NSO Group confirma que el software espía Pegasus ha sido utilizado por al menos 5 países europeos
  • El Bridge Horizon de Harmony Protocol, sufre un robo de 100 Millones de dólares
  • Microsoft Defender de Windows ya está disponible para Android e iOS
  • Correo electrónico
  • Facebook
  • LinkedIn
  • RSS
  • Twitter

Footer

Una al Día

Una Al Día nació a raíz de un inocente comentario en un canal IRC hace casi 19 años. A través de los archivos, un lector curioso puede ver cómo ha cambiado (o no) la seguridad de la información desde entonces.

Entradas recientes

  • El malware FluBot es eliminado en una operación mundial de las fuerzas del orden
  • La Europol detiene a una banda responsable de robar millones a través de ataques phishing.
  • Troyano bancario Coper afecta a nuevas entidades alrededor del mundo.
  • Un contratista municipal sale de copas después del trabajo y pierde un pendrive con datos personales de casi medio millón de residentes
  • NSO Group confirma que el software espía Pegasus ha sido utilizado por al menos 5 países europeos

Etiquetas

0-day Android Apple Chrome Ciberataque cve D-Link Facebook Google iOS leak linux malware Microsoft Mozilla OpenSSL Oracle OS X Phishing PHP ransomware rce vulnerabilidad vulnerabilidades Windows WordPress

Copyright © 2022 · Hispasec

 

Cargando comentarios...