Avast安全研究員逆向工程了一臺物聯網咖啡機，使其變身勒索軟體上傳器和門羅幣挖礦機。
對消費者而言，智能電器一直是風險頗高的家電選項，特別是在咖啡機方面。早在2015年，Pen Test Partners的研究人員就發現Smarter iKettle品牌的初代咖啡機存在安全漏洞，黑客可以利用這些漏洞恢復出Wi-Fi加密密鑰。
之後的二代咖啡機中也發現了類似缺陷。而現在看來，缺陷顯然也會遺傳，最新版咖啡機中亦存在漏洞問題。不過，這並不令人意外。因為2017年時Hackread.com就獨家報導過此類事件：一臺咖啡機將整個工廠的計算機網絡都感染上了勒索軟體。
如今，安全公司Avast的高級研究員Martin Hron，又在不入侵網絡或路由器的情況下，黑了第三代iKettle咖啡機。Hron在這臺售價179英鎊的咖啡機上做實驗，證明無需訪問毫無防護的路由器即可入侵物聯網設備。
實驗非常成功，因為只有拔下電源才能停止機器故障。之後，9月25日，Hron發表博客文章，解釋稱：
「物聯網設備威脅不僅僅是可以通過毫無防護的路由器訪問設備，或者設備暴露在公開網際網路上，而是物聯網設備本身很容易受到攻擊，無需擁有網絡或路由器就可以輕易得手。」
由於相應的安卓智慧型手機應用採用未加密的連接，Hron可以通過固件更新訪問此咖啡機。
一開機，Hron就注意到，這臺機器根本就是個Wi-Fi接入點，可以通過不安全/未加密連接接入其安卓應用。
進一步探查之後，Hron發現，固件更新機制也未加密，並且不涉及任何身份驗證過程或代碼籤名。
然後，Hron將應用的最新版固件上傳到計算機，並使用交互式反彙編程序進行了逆向工程。
他還拆了咖啡機，查看內部配置的CPU是什麼型號。Hron本來想將咖啡機改造成加密貨幣挖礦機，但發現CPU效率不足。
獲得必要的詳細信息後，Hron編寫了Python腳本，用來複製機器的更新過程；還修改了其固件和腳本代碼行，攪亂機器運行，並在連接到用戶的家庭網絡後要求贖金。
不過，Hron澄清說，入侵咖啡機說起來容易做起來難，至少黑客就必須一直待在機器的Wi-Fi覆蓋範圍內。儘管如此，智能設備可以通過這種方式加以利用的事實還是很令人擔憂。
Hron寫道：「隨著物聯網設備的爆炸式增長，還有人們對智能家居的狂熱支持，廢舊脆弱設備越來越多，根本就是一支可被濫用來從事各種惡意活動的龐大軍隊，網絡入侵、數據洩露、勒索軟體攻擊和分布式拒絕服務（DDoS）等安全事件將越來越多。」
本文轉自黑客技術