Pour certains experts, la sécurité est perçue comme le parent pauvre dans le domaine en pleine expansion de l'Internet des Objets. Deux chercheurs en sécurité de Pen Test Partners en ont fait une démonstration en concevant le tout premier ransomware… pour thermostat connecté.

Andrew Tierney et Ken Munro ne divulguent pas le nom du thermostat connecté pris pour cible. Ils précisent seulement que l'appareil Wi-Fi avec écran LCD est à base ARM et Linux, et dispose d'un port pour carte SD servant à configurer des profils (images personnalisées, économiseurs d'écran, horaires de chauffage) créés depuis une application Adobe AIR sur l'ordinateur. C'est cette porte d'entrée qui a permis une infection.

Un accès physique est donc nécessaire pour l'implantation du ransomware ; du moins il faut passer par la carte SD. La surprise est que le thermostat n'effectue pas de réelle vérification pour les fichiers stockés sur la carte SD, et les processus dans l'application du thermostat sont exécutés avec des privilèges root.

Les chercheurs - ou hackers - indiquent n'avoir vu aucun mal à modifier une fonctionnalité existante dans le firwmare pour parvenir à leur but. Verrouillé avec un code PIN, un économiseur d'écran affiche un message habituel de ransomware en réclamant le paiement d'une rançon de par exemple 1 bitcoin pour avoir de nouveau accès à l'appareil.

Un script shell en cours d'exécution permet de modifier le code PIN toutes les 30 secondes, tandis que par le biais d'une API HTTP, la température peut être modulée. Cela peut donc chauffer si le thermostat est bloqué à une température élevée. Les hackers ont pu mettre en place un botnet IRC et utiliser l'adresse MAC de l'appareil comme identifiant.

Ce ransomware pour thermostat connecté doit être pris comme un avertissement et une leçon à retenir de ce qu'il est possible de faire. En l'espèce, la menace réelle est toute relative. Un chiffrement du firmware, une vérification de la signature du firmware au démarrage sont des mesures préconisées à l'intention des fabricants pour éviter des déconvenues.

En juin dernier, Trend Micro alertait au sujet du ransomware FLocker (Frantic Locker) capable d'infecter et bloquer un smartphone mais aussi une Smart TV fonctionnant avec Android.