Alexa: Exploit macht Amazons Echo zur dauerhaft zuhörenden Wanze

Zum Glück für die Nutzer von Amazons Echo-Systemen war es erst einmal nur ein Proof-of-Concept-Angriff - dieser machte allerdings deutlich, wie einfach es ist, die Geräte zu kapern und als Wanze zu verwenden, mit der jedes gesprochene Wort in der Umgebung aufgenommen und säuberlich verschriftlicht abgegriffen werden kann. Vorgeführt haben den Exploit die Sicherheitsforscher von Checkmarx, wie aus einem ThreatPost-Bericht hervorgeht. Diese haben dem Echo einfach einen zusätzlichen Skill untergeschoben, in dem die Spionage-Routinen enthalten waren. Der notwendige Exploit sorgte dann dafür, dass die Aufnahme-Session einfach nicht wie vorgesehen beendet wurde, nachdem die eigentliche Spracheingabe beendet und der Nutzer mit den gewünschten Informationen versorgt wurde.

Wenn der Echo also einmal aktiviert war, zeichnete das Mikrofon fortwährend auf, was in der Umgebung gesprochen wurde. Die Audio-Inhalte wurden dann auch dem normalen Prozedere zugeführt: Erst erfolgte der Versand an die in der Cloud liegende Alexa-KI und diese lieferte anschließend eine Transkription des Gesprochenen an den Skill-Anbieter.

Immer weiter zuhören

Um dies zu erreichen, mussten die Entwickler eine Schwachstelle in einer JavaScript-Bibliothek ausnutzen. Im Kern funktionierte dies so, dass man so tat, als habe man den Wunsch des Nutzers nicht verstanden und müsse nochmal nachfragen. Allerdings wurde keine Nachfrage mitgeschickt. Der Echo gab also nur kurz Stille aus und wartete dann erneut auf das, was der Nutzer zu sagen hatte.

Der Bug wurde natürlich an Amazon kommuniziert und das Unternehme hat die Sicherheitslücke bereits geschlossen. Es ist unbekannt, ob er schon von anderen, weniger wohlwollenden Parteien ausgenutzt wurde. Und es gibt natürlich keine Garantie dafür, dass nicht weitere Schwachstellen dieser oder auch anderer Art in dem System enthalten sind. Wer sich also einen Echo - oder auch einen anderen Sprachassistenten - zulegt, muss sich im Klaren darüber sein, eine fest installierte Wanze im Wohnzimmer zu haben.

Weitere neue Amazon Geräte der Alexa-Familie:
Amazon Echo Plus Amazon Fire TV 2017 Amazon Echo Spot