Angriffe auf Consumer-Elektronik – Attacks on consumer electronics

Sie eröffnen aber auch neue Einfallstor für die Kriminelle, da IoT Geräte gehören zu den am stärksten gefährdeten Geräten der der Welt gehören.

Da die Hersteller zunehmend Geräte ohne Netzanschluss zugunsten von Internet-verbundenen Versionen ersetzen, wächst das intelligente Haus um ihre Besitzer herum und umhüllt die Menschen, die sie besitzen, ohne dass diese es überhaupt merken. Die einst romantisierten Vorstellungen des intelligenten Hauses von einst, das im Fernsehen oft als fröhlicher nahtlosen Leben dargestellt wurde, ist dem Eindringen in die Privatsphäre gewichen, Datenschutzverletzungen und rücksichtslose Ransomware-Angriffe auf Network Attached Storage. Bei unsachgemäßer Konfiguration oder wenn Schwachstellen und Sicherheitsrisiken bestehen, die die bei der Qualitätssicherung übersehen wurden, können diese Geräte eine Katastrophe für den Datenschutz und die Datenintegrität bedeuten oder sogar die die Integrität des Internets selbst gefährden.

Bitdefender und NETGEAR haben den gemeinsamen 2023 IoT Security Landscape Report vorgestellt. Die Analyse der IT-Sicherheit im Internet der Dinge basiert auf der Threat Intelligenz von rund 2,6 Millionen Smart Homes, die die von Bitdefender-Sicherheitstechnologien unterstützte NETGEAR-Armor-Sicherheitslösung absichert. Darauf aufbauend untersuchte Bitdefender rund 120 Millionen IoT-Geräte, die im Jahr 2022 3,6 Milliarden Sicherheitsereignisse erzeugten. Der Bericht deckt unter anderem auf, welche Schwachstellen Hacker am häufigsten und wie ausnutzen.

• Die verwundbarsten IoT-Geräte im Smart Home sind die Smart-TVs, die 52 Prozent aller Schwachstellen auf sich vereinen. Weitere Geräte folgen mit deutlichem Abstand: Intelligente Steckdosen, die in Zeiten der Energiekrise zunehmend nachgefragt sind, nehmen mit 13 Prozent Platz Zwei ein vor den Routern mit 9 Prozent. Es folgen digitale Videorekorder mit 8 Prozent.

• Hacker nutzen verschiedenste Techniken, um IoT-Hardware anzugreifen. 84 Prozent der Attacken beruhen auf Denial-of-Service (DoS)-Ansätzen (z.B. Port Scanning), die genutzt werden, um die Geräte auf Schwachstellen zu untersuchen, während die Geräte unter Umständen noch weiter ihren Dienst tun. 11 Prozent der Taktiken zielen auf sensible Daten ab.

• Auch bei den tatsächlichen Effekten einer Attacke steht DoS an der Spitze. In 31 Prozent der Fälle hören die Geräte auf zu funktionieren. In 29 Prozent der Angriffe kommt es zu Overflow-Attacken. Dahinter stehen die Exekution von Schadcode (12 Prozent), die Korruption von Arbeitsspeicher (10 Prozent), das Erlangen von Privilegien (7 Prozent) und das Ausspähen von Informationen (4 Prozent).

• In den meisten Fällen zielen die Angreifer auf bereits bekannte Schwachstellen ab, für die eine Schadmalware in Toolkits für automatisierte Attacken bereits vorliegt. So ist zum Beispiel die Schwachstelle Double Pulsar (CVE-2021-0143) immer noch eine gern ausgenutzte Sicherheitslücke von Cyberkriminellen.

• Gemäß der Studie verfügt der durchschnittliche Haushalt in den USA über rund 46 an das Internet angebundene Geräte. An der Spitze stehen dabei die Smartphones mit 41 Prozent, vor PCs und Laptops mit 16 Prozent, Streaming-Geräten (14 Prozent), Tablets (9 Prozent), Smart TVs (5 Prozent) und Konsolen (4 Prozent). In Europa verfügt jeder Haushalt über rund 25 Geräte mit Anschluss an das Internet.

Ein Hauptfaktor für die Gefahren im Smart Home sind die nur schwachen Sicherheitsmechanismen von IoT-Hardware. Dadurch können Hacker diese Geräte für Denial-of-Service-Attacken nutzen, persönliche Informationen auszukundschaften, oder die vollständige Kontrolle über die smarte Hardware an sich erlangen. Darüber hinaus ziehen IT-Sicherheitsrisiken auch physikalische Risken in Verbindung mit Licht, Zugangskontrolle und Überwachungsgeräten nach sich.

Weil Cyberkriminelle automatisierte Scans nutzen, um nach verwundbaren Geräten zu suchen und Angriffe zu starten, ist jeder Haushalt im gleichen Maße betroffen. Niemand kann von sich sagen, dass er zu unwichtig sei, um Opfer eines Angriffs zu werden.

Mit den Angestellten in ihrem privaten Smart Home sind auch die sie beschäftigenden Unternehmen betroffen. Denn wenn sich ein Nutzer über seinen Router oder das Smartphone in das Unternehmensnetz einwählt, verschwinden die Grenzen zwischen privater und Firmen-IT.

Um Angriffe zu erkennen, nutzen die IT-Sicherheitstechnologien von Bitdefender vor allem den Schutz vor auffälligem Verhalten, die Analyse von Netzwerk-Attacken und Verfahren, um die Reputation von IP-Adressen zu beurteilen.

Lageverbesserung nicht in Sicht

Die Sicherheitslage wird laut Urteil der Experten bis auf weiteres kritisch bleiben. So nimmt die Zahl der IoT-Geräte zu. Hacker werden ihrerseits ihre Aktivitäten zum Aufbau von Botnetzen für Distributed-Denial-of-Service-Attacken weiter intensivieren: Dazu gehören Investitionen in das Ausnutzen und in die Schaffung persistenter Mechanismen, welche die Basis infizierter Geräte etwa für Botnetze erweitern.

Bevor die Lage sich bessert, wird sie sich in 2023 weiter verschärfen. Hersteller reagieren zu langsam mit Updates auf das Offenlegen von Sicherheitslücken. Auch neue Regulationen wie das EU Cyber Resilience Act, werden nicht sofort Abhilfe schaffen. Die Vorschriften, die verpflichtend neue Cybersicherheitsstandards für Lösungen vorschreiben wollen, werden wohl nicht vor 2025 durchgesetzt werden.

But they are also opening new gateways for criminals, as IoT devices are among the most vulnerable in the world.

As manufacturers increasingly replace off-grid devices in favor of Internet-connected versions, the smart home is growing around their owners, enveloping the people who own them without them even realizing it. The once-romanticized notions of the smart home of yore, often portrayed on television as a happily seamless life, has given way to privacy invasions, data breaches and ruthless ransomware attacks on network attached storage. If improperly configured, or if there are vulnerabilities and security risks that the QA process overlooked, these devices can spell disaster for data privacy and integrity, or even threaten the integrity of the Internet itself.

Bitdefender and NETGEAR have unveiled the joint 2023 IoT Security Landscape Report. The analysis of IT security in the Internet of Things is based on threat intelligence from approximately 2.6 million smart homes secured by the NETGEAR Armor security solution supported by Bitdefender security technologies. Based on this, Bitdefender examined approximately 120 million IoT devices that generated 3.6 billion security events in 2022. Among other things, the report reveals which vulnerabilities hackers exploit most often and how.

– The most vulnerable IoT devices in the smart home are smart TVs, accounting for 52 percent of all vulnerabilities. Other devices follow at a considerable distance: smart sockets, which are increasingly in demand in times of energy crisis, take second place with 13 percent, ahead of routers with 9 percent. They are followed by digital video recorders with 8 percent.

– Hackers use a wide variety of techniques to attack IoT hardware. 84 percent of attacks rely on denial-of-service (DoS) approaches (e.g., port scanning), which are used to probe devices for vulnerabilities while the devices may still continue to serve. 11 percent of tactics target sensitive data.

– DoS is also at the top of the list when it comes to the actual effects of an attack. In 31 percent of cases, the devices stop working. Overflow attacks occur in 29 percent of the attacks. Behind them are malicious code execution (12 percent), memory corruption (10 percent), gaining privileges (7 percent) and spying on information (4 percent).

– In most cases, attackers target already known vulnerabilities for which malware already exists in toolkits for automated attacks. For example, the Double Pulsar vulnerability (CVE-2021-0143) is still a popularly exploited vulnerability by cybercriminals.

– According to the study, the average household in the U.S. has about 46 devices connected to the Internet. Smartphones top the list at 41 percent, ahead of PCs and laptops at 16 percent, streaming devices (14 percent), tablets (9 percent), smart TVs (5 percent) and consoles (4 percent). In Europe, each household has around 25 devices connected to the Internet.

A major factor in smart home threats is the weak security mechanisms of IoT hardware. This allows hackers to use these devices for denial-of-service attacks, to spy on personal information, or to gain complete control over the smart hardware itself. In addition, IT security risks also entail physical risks associated with lighting, access control, and monitoring devices.

Because cybercriminals use automated scans to look for vulnerable devices and launch attacks, every household is affected to the same degree. No one can say they are too unimportant to fall victim to an attack.

Along with the employees in their private smart homes, the companies that employ them are also affected. Because when a user dials into the corporate network via their router or smartphone, the boundaries between private and corporate IT disappear.

To detect attacks, Bitdefender’s IT security technologies primarily use conspicuous behavior protection, network attack analysis and procedures to assess the reputation of IP addresses.

No improvement in sight

According to the experts, the security situation will remain critical for the time being. The number of IoT devices, for example, is increasing. Hackers, for their part, will further intensify their activities to build botnets for distributed denial-of-service attacks: This includes investing in exploiting and creating persistent mechanisms that expand the base of infected devices for botnets, for example. Before the situation improves, it will continue to worsen in 2023. Manufacturers are too slow to respond with updates to disclose security vulnerabilities. New regulations such as the EU Cyber Resilience Act, will also not provide immediate relief. The regulations, which aim to make new cybersecurity standards mandatory for solutions, are unlikely to be enforced before 2025.