Sicherheitslücke macht DJIs Drohnen zu Wanzen

Wenn das laufende Jahr zu Ende ist, werden Privatnutzer und Unternehmen rund 9,3 Milliarden US-Dollar für Drohnen ausgegeben haben. Diese Zahl soll in den nächsten Jahren gemäss Marktforscher IDC mit einer durchschnittlichen jährlichen Wachstumsrate von 32,1 Prozent zulegen. Die Ausgaben von Unternehmen sollen mit einer Rate von 37,1 Prozent sogar noch etwas stärker wachsen.

Um diesem Markt gerecht zu werden stellte DJI, einer der führenden Drohnenhersteller im Consumer- und professionellen Umfeld, unlängst die Mavic 2 Enterprise vor. Eine Drohne mit modularem Zubehör, konzipiert für Infrastruktur-Inspektionen sowie Einsätzen bei der Brandbekämpfung oder der Strafverfolgung. Lesen Sie hier mehr zur DJI Mavic 2 Enterprise.

Was will jedoch sicher kein Nutzer, wenn so ein mehrere Tausend Franken teures Fluggerät gerade über den Köpfen anderer schwebt? Eine Sicherheitslücke! Doch genau das fanden die Sicherheitsexperten von Check Point, wie das israelische Unternehmen mitteilt.

Zugriff auf Flugdaten, Videos und Kamera

Die Schwachstelle ermöglicht es einem Angreifer zwar nicht, eine Drohne zu kapern. Doch sie ist genug ernst zu nehmen, dass DJI sie als «hohes Risiko» einstufte. Die Wahrscheinlichkeit, dass Cyberkriminelle sie finden, sei allerdings gering. Die Sicherheitslücke sitzt im Anmeldeprozess für DJI-Nutzer. Check Point zeigte auf, wie ein Angreifer potenziell einen Account übernehmen könnte.

Auf diese Weise hätte der Cyberkriminelle Zugriff auf die Flug- und Nutzerdaten sowie auf die mit der Drohne gemachten Fotos und Videos. Der Angreifer könnte im Flug auch die Kamera der Drohne anzapfen oder den Flug auf der Karte verfolgen. Alles ohne das Mitwissen des Nutzers.

Der Angreifer müsste dafür lediglich einen DJI-Benutzer ködern, der das Onlineforum des Herstellers frequentiert. Der Anmeldeprozess verwendet Cookies, um die einzelnen Nutzer zu identifizieren. Über einen platzieren boshaften Link konnte Check Point in ihrem Versuch an diese Cookies herankommen und so die weiteren benötigten Tokens, Tickets und Zugangsdaten generieren, um sich erfolgreich als diesen Nutzer auszugeben.

Lücke ist bereits gestopft

Check Point entdeckte das Problem bereits im März 2018 im Rahmen von DJIs Bug-Bounty-Programm. Der Hersteller behob die Sicherheitslücke anschliessend. Gemäss DJI und Check Point gebe es keine Hinweise darauf, dass die Schwachstelle ausgenutzt wurde.

"Angesichts der Popularität von DJI-Drohnen ist es wichtig, dass potenziell kritische Schwachstellen wie diese schnell und effektiv behoben werden, und wir begrüssen es, dass DJI genau das getan hat", lässt sich Oded Vanunu, Head of Products Vulnerability Research bei Check Point, in der Mitteilung zitieren.

Hersteller und Sicherheitsanbieter empfehlen beide, Firmware und Apps stetig auf dem neuesten Stand zu halten. Mehr Infos zur DJI-Schwachstelle auf der Website von Check Point.

Wer mehr zum Thema Cybercrime und IT-Sicherheit lesen will, kann dies im IT-Security-Blog von IT-Markt auf www.it-markt.ch/security tun. Der Blog wird laufend aktualisiert.

Zum Nachschlagen:

Das kleine IT-Security-Glossar verschafft einen schnellen Überblick über die gängigsten Begriffe rund um Cybercrime und IT-Security - ohne Anspruch auf Vollständigkeit.

Das Who’s who der Malware gibt einen schnellen Überblick darüber, was hinter den Namen der einzelnen Schadprogrammen steckt. Mehr auf www.it-markt.ch/MalwareABC.