Hackers kunnen nu op afstand keyboards en muizen overnemen

Draadloze muizen geven mensen de mogelijkheid om nooit ruzie te hebben met kabels. Maar ze openen ook achterdeuren voor hackers om in hun computers te komen.

Een foutje in de manier waarop sommige populaire draadloze muizen en hun zenders (die dingen die in de USB poort gaan) in elkaar zitten en data versturen, zou miljarden computers kwetsbaar maken voor hackers. Hiervoor waarschuwt beveiligingsbedrijf Bastille op dinsdag.

Een zou hacker binnen een straal van 90 meter van een computer met eenlange-afstandsdongle van $30 en een paar lijnen code de radiosignalen kunnen onderscheppen. De hacker zou vervolgens dit signaal kunnen verwisselen met zijn of haar eigen signaal, en vervolgens de controle over het keyboard en de computer overnemen.

De hacker kan vanaf dat moment de computer van het slachtoffer gebruiken alsof hij of zij ervoor zit, met "volledige controle over het keyboard," zegt oprichter van Bastille Chris Rouland tegen Motherboard.

"Alle computers vertrouwen hun keyboards omdat mensen keyboard gebruiken, dus het overnemen van een keyboard is soort van de ultieme hack," zegt Rouland.

Voor Rouland zijn de beveiligingsproblemen, die non-Bluetoothmuizen van Logitech, Dell, Lenovo en andere merken treffen, een voorbode voor de nabije toekomst met Internet of Things. Zowel bedrijven als consumenten zullen dan hackbare apparaten gebruiken. Bastille richt zich op de beveiliging van het Internet of Things en verkoopt een product dat aanvallen via radiosignalen moet voorkomen. Dat betekent natuurlijk dat het voordelig is voor het bedrijf om dit soort problemen aan het licht te brengen.

Deze hack, die Bastille de hashtag-vriendelijke naam "MouseJack" heeft meegegeven, bouwt voort op eerder onderzoek naar het hacken van draadloze keyboards. In dit geval is het grootste probleem dat producenten data die tussen de muis en de dongle verstuurd wordt niet goed versleutelen.

Maar ondanks de claim van Bastille dat het om een "enorm" beveiligingslek gaat, is het geen makkelijke aanval om uit te voeren. De aanval kan maar op één computer tegelijk uitgevoerd worden en de hacker moet dichtbij het doelwit zijn. Verder, en belangrijker, moet de hacker waarschijnlijk het scherm van het slachtoffer kunnen zien om daadwerkelijk iets te doen, volgens onderzoekers die de hack voor ons analyseerden.

"Het is een blinde aanval," zegt Tod Beardsley, een beveiligingsonderzoeker van Rapid7. Tenzij de hacker dicht genoeg bij het scherm zit om te zien wat ze doen.

Daarom is MouseJack, in ieder geval volgens Adrian Sanabria, beveiligingsanalyst bij 451 Research "geen groot risico."

Het zou "leuk kunnen zijn voor pranks, misschien, maar het is moeilijk om er praktisch gebruik van te maken," vertelt Sanabria me. "In specifieke scenario's zou je natuurlijk met iemands computer kunnen klooien, maar zonder de mogelijkheid om een keyboard te gebruiken, duurt het lang voordat je een virtueel keyboard kan opzetten en gebruiken om het systeem te hacken."

Bovendien is het erg moeilijk om dit te doen terwijl het slachtoffer de computer gebruikt, voegt Sanabria toe. Maar Beardsley zegt dat het mogelijk is als de aanvaller de "geometrie van het scherm" kent en kan navigeren naar bekende knoppen.

Bastille heeft een lijst van betrokken apparaten gepubliceerd en zegt dat ze contact hebben gehad met producenten om ze op de hoogte te brengen van de zwakheden.

Een woordvoerder van Logitech vertelt Motherboard dat het bedrijf nieuwe firmware heeft gepubliceerd die het probleem op hun Unifying dongle oplost. Gebruikers moeten dan wel zelf de firmware downloaden en installeren.

Een woordvoerder van Dell zegt dat consumenten in het bezit van de KM714 de Logitech update kunnen krijgen via hun tech support. Maar voor gebruikers met de KM632 raadt het bedrijf een vervanging aan.

Microsoft stuurde simpelweg een statement waarin ze stellen dat het bedrijf "proactief apparaten zo snel mogelijk zal updaten," maar gaf verder geen details.

Lenovo, Amazon, Gigabyte en HP reageerden niet op onze verzoeken om reactie.

Als je draadloze dongles gebruikt die radiofrequenties gebruiken en je je zorgen maakt dat hackers je shit komen overnemen, kan je het beste je dongle uit de USB halen als je niet achter je computer zit. Of een Bluetooth-muis en -keyboard kopen. Hoewel die ook gehackt kunnen worden, zijn die hacks veel moeilijker.