Les chercheurs en sécurité de Check Point ont mis au jour une vulnérabilité baptisée HomeHack. Via son exploitation, ils ont fait la démonstration d'une prise de contrôle à distance d'un robot aspirateur Hom-Bot de LG avec fonctionnalité Home Guard.
Cet appareil domestique connecté est équipé d'une caméra de surveillance pour détecter des mouvements en l'absence du propriétaire des lieux. Le contrôle passe par une application Smart ThinQ sur mobile et une connexion en Wi-Fi.
La caméra de surveillance a été transformée en caméra pour espionner un domicile à l'insu du propriétaire. La faille résidait dans la procédure d'authentification de l'utilisateur légitime sur l'application SmartThinQ.
Un attaquant doit recompiler l'application côté client afin de contourner des protections de sécurité. Ces protections sont en rapport avec la détection de l'exécution de l'application sur un smartphone rooté, et pour empêcher l'interception du trafic avec le serveur de LG (SSL).
Un faux compte LG est créé par l'attaquant afin d'initier une procédure d'authentification. " En manipulant le processus de connexion et en saisissant l'adresse email de la victime, il a été possible de pirater son compte et de prendre le contrôle de l'appareil ", explique Check Point.
Le problème concernait tous les appareils avec l'application SmartThinQ, et pas uniquement l'aspirateur robot, pour une vulnérabilité toutefois loin d'être évidente à exploiter. Check Point a alerté LG fin juillet et un correctif a été diffusé fin septembre.
Check Point recommande de mettre à jour l'application LG SmartThinQ vers la dernière version 1.9.23, et de mettre également à jour le micrologiciel des appareils.
