600 000 GPS-трекеров могут «слить» данные пользователей
Устройства для обеспечения безопасности детей, пожилых людей, домашних животных и имущества имеют серьезную уязвимость, открывающую злоумышленникам доступ к GPS-координатам в режиме реального времени.
Данную проблему обнаружил Avast в GPS трекере T8 mini от компании Shenzhen i365 Tech. Всего около 30 моделей данного производителя имеют проблемы с безопасностью.
Как выяснили исследователи, трекеры позволяют третьим лицам получить все данные из облака и, кроме того, злоумышленники могут подделать местоположение или совершить ряд действий, не предусмотренных функционалом:- позвонить по номеру телефона, чтобы прослушать микрофон GPS-трекера;
-
отправить SMS-сообщение, чтобы определить номера телефона устройства и затем использовать SMS в качестве вектора атаки;
-
с помощью SMS-сообщений перенаправлять вызовы с устройства на альтернативный сервер — чтобы получить полный контроль над устройством или подделывать информацию, отправляемую в облако;
-
предоставить URL-адрес трекера, чтобы удаленно установить новую прошивку на устройство, которая полностью заменит функциональность устройства или внедрить бэкдор.
Это могла бы быть стандартная новость с припиской в конце о том, что производитель отреагировал на сообщение об уязвимости и предпринял меры, но на данный момент ответа от Shenzhen i365 Tech не последовало.
Мартин Хрон, специалист по безопасности компании Avast, руководивший этим исследованием, советует при выборе трекера сразу смотреть, встроены ли в устройство решения по безопасности. Особенно это касается сложных паролей и надежного шифрования данных.
При покупке любого гаджета такого типа сразу меняйте пароль. Но в случае устройств от этого производителя даже такие меры безопасности не помешают злоумышленнику перехватить зашифрованный трафик. Все запросы, исходящие от веб-приложения трекера, передаются в незашифрованном виде.
Во время анализа процесса подключения T8 Mini, следуя инструкциям по загрузке сопутствующего мобильного приложения с сайта производителя, исследователи обнаружили, что он обслуживался по протоколу HTTP, а не по более безопасному HTTPS. Пользователи могут войти в свою учетную запись со своим личным присвоенным идентификационным номером и общим паролем по умолчанию «123456». Сейчас в мире существует более 600 000 устройств с таким паролем.
Идентификационный номер, к слову, получен из Международного идентификатора мобильного оборудования (IMEI) устройства, поэтому можно легко предсказать и перечислить возможные номера других трекеров этого производителя. А теперь берем общий пароль и вуаля: практически любое устройство, следующее этой последовательности номеров IMEI, может быть взломано на раз-два.
Помимо указанного трекера были найдены 50 различных приложений, которые используют мобильную платформу с той же уязвимостью.
