Gli smartphone sono dispositivi a rischio, pochi dubbi ormai. Il massimo a cui può aspirare l'utente medio è fare molta attenzione a ciò che scarica e limitare le proprie attività ad ambienti ufficiali, ma ora un nuovo studio pubblicato dalla Università di Georgetown esplora la possibilità di un attacco remoto tramite comandi vocali diretti ad assistenti come Google Now, Siri e Cortana. La cosa più sorprendente è che questi comandi vengono trasmessi con una voce distorta e quasi demoniaca che in teoria potrebbe essere nascosta all'interno di un video di YouTube o di un'altra fonte audio.
I progressi nel riconoscimento vocale sono stati straordinari e hanno cambiato completamente il modo in cui utilizziamo oggi i nostri dispositivi mobili, ma man mano che gli assistenti estendono la loro portata e incorporano più comandi, aumenta anche la probabilità di trovare una vulnerabilità. A meno che l'utente non possieda un dispositivo come il Moto X, è logico invocare manualmente l'assistente e poi parlargli, ma qui sta il punto: se l'assistente è in primo piano e pronto a ricevere comandi, chiunque potrebbe parlargli, anche un video su YouTube appositamente preparato per distribuire malware.
Sebbene ci troviamo di fronte a una condizione di funzionamento molto particolare, il gruppo di ricercatori della Università di Georgetown e della Università della California (Berkeley) che ha preparato questo studio sottolinea il potenziale dei video virali. Se per ogni milione di visualizzazioni ci sono diecimila utenti che hanno lasciato lo smartphone vicino agli altoparlanti e la metà interpreta correttamente l'ordine di aprire un URL carico di malware, si potrebbe parlare di cinquemila dispositivi infetti. Questi comandi nascosti vengono trasmessi con una voce molto distorta e con un certo profilo demoniaco che può persino raggiungere il suo obiettivo in ambienti con rumore di fondo.
Lo studio ha una pagina ufficiale (link qui sotto) dove sono state pubblicate diverse demo «white-box» e «black-box» per consentire a tutti gli interessati di fare la prova con i propri smartphone. Insisto sul fatto che non si tratta di una soluzione esatta, e calcolo che lo smartphone fallirà nel riconoscere i comandi la maggior parte delle volte, tuttavia sappiamo bene che il malware ha bisogno solo di avere fortuna una volta.
