Исследователи взломали телевизор LG и записали звук при тёмном экране

Gamers Nexus вместе с Level1Techs и исследователями безопасности показал, как удалённый доступ к телевизору LG позволяет записывать звук и изображение с подключённой вебкамеры, пока экран выглядит выключенным. В том же расследовании команда изучила штатное сканирование домашней сети и сбор данных для рекламы. Демонстрация записи требует доступа к системе; постоянное прослушивание комнаты из коробки этими опытами не установлено.

Для владельца телевизора и администратора сети здесь два отдельных вопроса: какие сведения устройство собирает в обычной работе и что сможет сделать человек, получивший контроль над webOS. Авторы проверяли купленные в рознице телевизоры, включая LG G5, анализировали прошивку и снимали трафик через Wireshark. Результаты относятся к показанным моделям и настройкам: команда прямо говорит, что проверить все телевизоры и версии прошивок LG она не может.

Какие данные телевизор собирает в обычной работе?

По анализу трафика и прошивки, который приводят авторы, телевизоры способны определять внутренние IP-адреса соседних устройств, имена и уровень сигнала ближайших Wi-Fi-сетей, их каналы и сведения для определения местоположения. В локальной сети телевизор обнаруживал телефоны и умные часы сотрудников, а также компьютеры и принтеры. Авторы отдельно подчёркивают, что такое сканирование относится к штатным функциям и не требовало эксплуатации уязвимости.

В часовом захвате на LG G3 до принятия соглашений исследователи увидели подключения к восьми адресатам, включая рекламную платформу и платформу клиентских данных LG. Телевизор за это время отправил и получил около 8,9 МБ. Он использовался как экран для ноутбука по HDMI и продолжал искать устройства поблизости. Это суммарный сетевой обмен за конкретный час; объём переданных персональных данных из этой цифры определить нельзя.

В расследовании приводятся заявления LG Ad Solutions о работе с данными домохозяйств и охвате других устройств в них. Указанные в видео 363 млн вторичных адресуемых устройств в США и 216 млн проданных телевизоров в мире описывают разные категории и территории. Сами по себе эти числа не доказывают, что каждый телевизор передаёт полный перечень соседей. Авторы признают и ограничение захвата: часть обмена зашифрована, поэтому точный состав всех отправляемых сведений им неизвестен.

Как ACR связан с просмотром через HDMI?

ACR означает автоматическое распознавание контента. По объяснению исследователей, система преобразует фрагменты изображения и воспроизводимого звука в цифровой отпечаток и сопоставляет его с базами медиаконтента. Эти сведения используются рекламным подразделением LG Ad Solutions. Функция может работать и при использовании телевизора как монитора: внешний источник сигнала сам по себе не исключает распознавание показанного на экране.

Состояние соглашений существенно для результата. До их принятия на проверенном LG G3 авторы не наблюдали признаков сбора или передачи ACR-данных, хотя обращения к рекламным адресатам и сканирование сети продолжались. После принятия соглашений, всё ещё при показе изображения с ноутбука, они зафиксировали 44 подключения к Alfonso ACR с передачей 4 МБ. Так авторы разделяют распознавание контента и другую сетевую активность устройства.

Какие микрофоны остаются доступны после выключателя?

Выключатель на корпусе относится к встроенному микрофону. В видео при его отключении продолжает работать голосовой ввод с пульта по нажатию кнопки. Подключённая USB-вебкамера также имеет собственный микрофон, на который этот переключатель не распространяется. Наличие доступного источника звука само по себе не означает, что телевизор постоянно сохраняет разговоры.

Отдельная демонстрация уже требует контроля над системой: исследователь показывает удалённую командную оболочку и список звуковых устройств. Он запускает свою программу и подавляет штатный интерфейс голосового ввода. В этом опыте микрофон пульта становится доступен при нажатии кнопки и исчезает из списка после закрытия канала. Для непрерывного захвата исследователь описывает подключённую вебкамеру как другой доступный источник.

Что показала запись после получения удалённого доступа?

Получив доступ к телевизору, команда записала звук и изображение с вебкамеры, когда экран выглядел выключенным. Это описание внешнего состояния экрана; из него нельзя сделать вывод о штатном режиме ожидания. В другом опыте на LG G5 исследователь начал запись с микрофона, отключил сеть, затем подключил её снова и скопировал сохранённый звук. В транскрипте прямо сказано, что запись сохраняет человек с удалённым доступом к телевизору. Автоматическая отправка таких записей производителю этим опытом не установлена.

Сетевое отключение в середине этого опыта не прекращало уже запущенную программу. После восстановления связи исследователи смогли забрать файл. Для оценки риска важна именно последовательность: сначала контроль над устройством, затем локальная запись без сети и последующее извлечение. Видео не показывает, что любой отключённый от интернета телевизор сам начинает записывать комнату.

Что исследователи извлекли из журналов голосового ввода?

Через доступ к системе авторы также прочитали текстовые расшифровки голосового ввода в локальных журналах. Они показали фразы, произнесённые после вызова голосовой функции, и отмечают, что в окно её активности могли попадать соседние разговоры. Здесь важно различать штатное преобразование речи в текст и возможность извлечь результат при доступе к системе. Эти журналы не служат доказательством круглосуточной записи всей речи вокруг телевизора.

У проверенного нового телевизора подробные журналы находились на диске в оперативной памяти. По словам авторов, команда удаления пользовательских данных и обычная перезагрузка не убрали показанные записи. Физическое отключение питания очистило именно эти журналы. Другие журналы оставались, и исследователи не проверили содержимое каждого из них. Поэтому видео не подтверждает ни бессрочное хранение всех расшифровок, ни полное удаление всех данных после отключения питания.

В ролике также обсуждаются новые уязвимости удалённого выполнения кода, или RCE: такой доступ позволяет запустить программу на чужом устройстве. На момент подготовки видео они проходили ответственное раскрытие, поэтому авторы ограничили технические подробности. В транскрипте нет полного списка затронутых прошивок и исправленных версий. Показанный путь доступа через браузер требовал подтверждения диалога сопряжения; переносить это условие на все упомянутые новые уязвимости оснований нет.

Что рекомендуют владельцам участники расследования?

Исследователи рекомендуют отключить умный телевизор LG от любой сети. Участник расследования из Level1Techs также советует обходиться без встроенных приложений. Подключение внешнего источника изображения по HDMI следует рассматривать отдельно от сетевого подключения самого телевизора: в опытах команды режим монитора при доступной сети не прекращал обращения к сервисам LG.

По словам Gamers Nexus, LG не ответила на направленные для этого расследования вопросы к моменту подготовки ролика. Проверяемым продолжением станут публикация технических описаний уязвимостей и сведения об исправлениях. До появления этих данных нельзя назвать по этому видео конкретную безопасную версию прошивки или распространить каждый показанный сценарий на всю линейку LG.

Источник: Gamers Nexus: расследование о сборе данных и уязвимостях телевизоров LG

Изображение на обложке: Кадр: Gamers Nexus