De apps kunnen meer rechten verwerven dan nodig is voor de functionaliteit van het slimme apparaat, zo bemerkten de onderzoekers (PDF). Samsungs SmartThings-platform geeft apps volledige toegang tot functionaliteiten, zelfs als de app deze niet heeft gespecificeerd en gekoppeld met een foute OAuth-implementatie kunnen aanvallers misbruik maken van die ruime toegang.

Via deze ontwerpfout konden de beveiligingsonderzoekers software maken die als legitiem wordt gezien door het platform. Met de malaware is vervolgens informatie uit te lezen en kunnen events worden gespooft.

Eigen sleutels maken

De SmartThings-hackers konden met de introductie van deze malafide software op de aansturende smartphone onder meer rookmelders laten loeien, aanwezigheidsmodus van slimme lampen aanpassen en zelfs een legitieme eigen pincode voor sloten aanmaken.

Kortom, ze maakten een nieuwe voordeursleutel die als legitiem wordt gezien door het slimme apparaat. De onderzoekers hebben een analysetool op GitHub gepubliceerd, zodat andere beveiligers de staat van hun domoticaproducten kunnen testen.