Zahle fünf Bitcoins, sonst bleibt deine Heizung kalt, deine Garage verschlossen und deine Jalousien werden den ganzen Tag rauf- und wieder runterfahren.

Das passiert, wenn jemand auf die Idee kommt, zwei aktuelle technische Entwicklungen zu kombinieren: Vernetzte Haushaltsgeräte und Ransomware. Einen Vorgeschmack auf kreative Erpressungsversuche haben Andrew Tierney und Ken Munro am vergangenen Samstag auf der Hackerkonferenz DEF CON in Las Vegas gegeben, wie Motherboard berichtet.

Die beiden arbeiten als Sicherheitsforscher für die britische Firma Pen Test Partners. Kurz vor Beginn der DEF CON fanden sie eine Schwachstelle in einem bestimmten Thermostat. Die konnten sie ausnutzen, um beliebige Malware auf dem Gerät zum Laufen zu bringen. Zum Beispiel eine, die den Besitzer auffordert, Bitcoins an eine bestimmte Adresse zu übertragen. Bis das geschehen ist, belassen die Angreifer die Haustemperatur besonders hoch oder besonders niedrig.

Wenig praxisnaher Hack, aber es geht ums Prinzip

Das Ganze war nur als proof of concept gedacht. Tierney und Munro wollen den Hersteller erst am heutigen Montag kontaktieren und auf die Schwachstelle aufmerksam machen. Nicht die ganz feine Art der verantwortungsvollen Offenlegung, die Hacker in solchen Fällen eigentlich propagieren. Üblicherweise wird zunächst der Hersteller informiert und er bekommt ausreichend Zeit zu reagieren, bevor die Entdecker einer Sicherheitslücke an die Öffentlichkeit gehen.

Tierney und Munro wollten die Gelegenheit in Las Vegas dennoch nutzen. Deshalb nannten sie den Namen der Firma in ihrem Vortrag nicht. Die Geräte, die sie für ihre Demonstration verwendeten, waren mit Aufklebern abgedeckt.

Ihr Hack funktioniert so: Zum Thermostat gehört eine SD-Karte, auf der Nutzer individuelle Einstellungen und Wallpapers abspeichern können, die auf dem großen Kontrolldisplay des Systems angezeigt werden. Weil dieses die Dateien nicht prüft, bevor er sie ausführt, ist es für Angreifer leicht, einen Schadcode in irgendeiner Datei zu verstecken und diesen automatisch ausführen zu lassen. Danach habe der Angreifer die volle Kontrolle über das vernetzte Gerät und könne die Temperatur nach Belieben festlegen.

Schlecht gesicherte Geräte sind ein Einfallstor ins WLAN

Allerdings müssen die potenziellen Opfer erst einmal die infizierten Dateien aus dem Netz herunter- und auf die SD-Karte laden. Der Trick ist also nur begrenzt alltagstauglich – ein Konzept eben. Details dazu hat Munro mittlerweile in diesem Blogeintrag veröffentlicht.

Den beiden Forschern geht es darum, auf das generelle Risiko hinzuweisen, das von schlecht gesicherten, smarten Haushaltsgeräten ausgeht: Zum einen sind die Geräte selbst mitunter leicht angreifbar, weil viele Hersteller noch immer keinen gesteigerten Wert auf Schutzmaßnahmen legen oder als Spezialisten zum Beispiel für Küchentechnik einfach wenig Ahnung von Computersicherheit haben.

Zum anderen stellen sie dadurch auch ein Einfallstor ins heimische WLAN dar, das in einem vollvernetzten Haushalt von mehreren Geräten verwendet wird. Angreifer könnten das ausnutzen, um über diesen Umweg ein anderes Gerät mit Ransomware zu infizieren. Am Ende ist dann der Thermostat schuld, dass Ihr smartes Türschloss fünf Bitcoins von Ihnen verlangt, bevor es Sie ins Haus lässt.