LidarPhone: Staubsauger-Roboter können Räume ohne Mikro abhören

Die außerordentliche Kreativität mancher Hacker lässt Si­cher­heits­pro­bleme sichtbar werden, an die man kaum glauben kann. Jetzt ist es beispielsweise gelungen, die Umgebungs-Sensoren eines Staubsauger-Roboters als Mikrofon zu missbrauchen. Forscher der University of Maryland und der National University of Singapore haben dafür ein Verfahren entwickelt, das sie LidarPhone nennen. Im Experiment haben sie dafür eine Malware auf einem Staubsauger-Roboter installiert, mit der sie die Daten des integrierten LiDAR-Sensors abgreifen können. Aus diesen lassen sich anhand der Abtastung bestimmter Oberflächen auch die Vibrationen durch Schallwellen herausfiltern.

Das Grundprinzip ist im Kern nichts Neues: Laser-Mikrofone gibt es schon länger. Mit ihnen ist es beispielsweise möglich, die leichten Vibrationen von Fensterscheiben zu vermessen und so aus der Entfernung herauszufinden, was in einem dahinterliegenden Raum besprochen wird. Dies ist sehr viel einfacher, als in das jeweilige Gebäude einzudringen und ganz klassische Wanzen zu installieren.

Lasermodul kapern

Das Prinzip dessen machten sich nun eben auch die Forscher zunutze, indem sie die LiDAR-Komponenten in Staubsauger-Robotern anzapften, wie aus einem Bericht des US-Magazins ZDNet hervorgeht. In diesen kommen auch Laser-Module zum Einsatz, die eigentlich dafür gedacht sind, die Umgebung zu kartographieren und dem System die Navigation durch die Wohnung zu ermöglichen. Wenn es aber gelingt, den Laser auf eine gut geeignete Oberfläche wie eine Glasscheibe oder einen Papierkorb aus Blech auszurichten, lässt sich das System eben auch als Mikrofon missbrauchen.

Das funktioniert allerdings nur, wenn die Malware gezielt für das jeweilige LiDAR-Modul entwickelt wurde. Denn normalerweise rotiert dessen Laser-Abtastung recht schnell, um die Umgebung jederzeit im Blick zu halten. Der Angreifer muss aber dafür sorgen, dass der Lichtstrahl kontinuierlich auf die Oberfläche ausgerichtet ist, von der man den Schall abgreifen will.

Das Verfahren kennt man bisher ausschließlich aus der genannten akademischen Forschung und es gibt keine Hinweise darauf, dass der Angriff auch schon in der Praxis eingesetzt wird. Es zeigt allerdings einmal mehr die Notwendigkeit, dass auch IoT-Systeme wie Staubsauger-Roboter ein IT-Sicherheitskonzept und regelmäßige Patches benötigen.

Siehe auch: