Експертите на Avast са открили , че над 600 000 GPS тракера, използвани за проследяване на местоположението на деца, възрастни хора, домашни любимци, автомобили и др., са използвали паролата «123456».
Като използват паролата по подразбиране, за да проникнат в потребителските акаунти, нападателите могат да подслушват разговорите около GPS тракера, да симулират действителното местоположение на устройството и да узнаят и номера на SIM картата, свързана с тракера.
Всичко започна с откриването на проблеми при проследяващите устройства T8 Mini на китайската IoT компания Shenzhen i365-Tech. Скоро обаче експертите установиха, че паролата «123456» се използва и за 30 други модела GPS тракери, произведени от същата компания, някои от които се продаваха под бяла марка и се предлагаха на пазара под марките на други компании.
Всички проблемни тракери имат една и съща инфраструктура, която се състои от облачен сървър, към който тракерът «докладва» уеб панел (който клиентите използват чрез браузъри, за да проверят местоположението на устройството), както и подобно мобилно приложение, което също се свързва със същия облачен сървър.
Въпреки че експертите на Avast незабавно установиха редица проблеми в описаната инфраструктура, най-важният от тях е фактът, че всички потребителски акаунти (както в мобилното приложение, така и в уеб панела) използват потребителско ID и парола, които са лесни за откриване. Потребителското ID се базира на IMEI номера на тракера и е последователно, а паролата, както беше споменато по-горе, по подразбиране е една и съща за всички устройства – това е «123456».
Всъщност това означава, че нападателите могат да стартират автоматизирана атака срещу облачния сървър на Shenzhen i365-Tech, като преминават през всички потребителски ID едно по едно и използват една и съща парола, за да проникнат в потребителските акаунти.
За щастие потребителите могат да сменят паролата на GPS тракерите, но анализаторите на Avast сканираха над 4 000 000 идентификационни данни и откриха, че над 600 000 акаунта все още използват паролата по подразбиране. Действителният брой GPS тракери с пароли по подразбиране вероятно е много по-голям.
Освен това проблемът се влошава от факта, че такива устройства са оборудвани с вградени микрофони и SIM карти, които позволяват на децата и възрастните хора да извършват SOS обаждания и да комуникират с членовете на семействата си. Изследователите установиха, че компрометирането на тракера всъщност позволява на нападателите да се обаждат на номерата му, да отговарят на тези обаждания, след което да шпионират собственика и да го локализират.
Откритите уязвимости застрашават и самата производствена компания. Фактът е, че уязвимите акаунти се създават в облака веднага след производството на GPS тракерите. Теоретично конкурент би могъл да поеме контрол над тези акаунти още преди продажбата на устройствата и да промени паролите, като по този начин блокира акаунтите и създава проблеми за Shenzhen i365-Tech и препродавачите.
Всички проблеми, описани от експертите, все още са актуални, тъй като представителите на Shenzhen i365-Tech не отговориха на многобройните запитвания на изследователите. Анализаторите на Avast настоятелно препоръчват на потребителите на уязвими тракери незабавно да сменят паролите си. Пълен списък с уязвимите устройства е предоставен в края на експертния доклад.
