l+f: Dicke Hunde, träge Katzen: IoT-Futterspender aus der Ferne manipulierbar

Smarte Futterstationen für Haustiere klingen erstmal nach einer guten Idee: Man füllt sie mit Trockenfutter auf und plant komfortabel via App, wann und in welcher Menge Pellets in die Schüssel fallen. Der Haken an der Sache ist, dass sich Haustierbesitzer, etwa während langer Arbeitstage oder kurzer Dienstreisen, darauf verlassen, dass die Station auch wirklich das tut, was sie soll.

Die russische Sicherheitsforscherin Anna Prosvetova hat nun gezeigt, dass dieses Vertrauen Folgen haben kann, von denen – gerade bei längerer Abwesenheit der Besitzer – vollgefressene Perserkatzen und aufgebrachte Chihuahuas noch die harmlosesten wären.

Diäten und Fressgelage auf Knopfdruck

In ihrem Telegram-Channel berichtete Prosvetova, dass es ihr nach eingehender API-Analyse gelungen sei, aus der Ferne Zugriff auf fast 11.000 aktive "Pet Smart Feeder" des chinesischen Herstellers Furrytail zu erlangen. Die besagte IoT-Futterstation wird in Deutschland zwar nicht angeboten, ist aber auch hierzulande über Online-Handelsplattformen wie AliExpress für rund 85 US-Dollar bestellbar.

Prosvetova schrieb, sie könne (theoretisch) sämtliche Tiere mit ein paar Klicks füttern, andererseits aber auch vorhandene Zeitpläne von Geräten löschen und ihnen somit die Nahrung komplett entziehen. Darüber hinaus sei es ihr aber auch möglich, die Firmware auszutauschen und die vollständige Kontrolle über Geräte zu übernehmen, um sie etwa für DDoS-Angriffe zu missbrauchen.

Nächstes Mal den Nachbarn fragen

Mittlerweile hat Prosvetova via Telegram mitgeteilt, dass Furrytail an einer Lösung für das Problem arbeite und die Schwachstelle so gut wie behoben sei.

Der beste Weg, um Vierbeiner in Zukunft vor ähnlichen Manipulationen zu schützen dürfte sein, sie bei längerer Abwesenheit in die Obhut von Nachbarn oder Freunden zu geben. Die bringen im Normalfall auch noch zusätzliche Skills mit, die ein (Futter-)Automat nicht hat – und die für Tiere mindestens genau so wichtig sind wie Nahrung.

Mehr Infos

lost+found

Die heise-Security-Rubrik für Kurzes und Skurriles aus der IT-Security.

Alle l+f Meldungen in der Übersicht

(ovw)