Eksperter fra Avast har opdaget , at mere end 600.000 GPS-trackere, der bruges til at overvåge placeringen af børn, ældre, kæledyr, biler og meget andet, brugte adgangskoden «123456».
Ved at bruge standardadgangskoden til at hacke brugerkonti kan angribere aflytte samtaler i nærheden af GPS-trackeren, forfalske enhedens faktiske placering og desuden finde nummeret på det SIM-kort, der er sat i trackeren.
Det hele begyndte med, at man opdagede problemer med T8 Mini-trackerne fra det kinesiske IoT-firma Shenzhen i365-Tech. Eksperterne fandt dog hurtigt ud af, at adgangskoden «123456» også blev brugt til 30 andre modeller af GPS-trackere fra samme firma, hvoraf nogle blev solgt som white label og udbudt på markedet under andre virksomheders mærker.
Alle de problematiske trackere har den samme infrastruktur, som består af en cloudserver, som trackeren «rapporterer» til, et webpanel (som kunderne bruger via browsere til at kontrollere enhedens placering) samt en tilsvarende mobilapp, der også forbinder til den samme cloudserver.
Selvom Avast-eksperterne med det samme identificerede en række problemer i den beskrevne infrastruktur, er det vigtigste, at alle brugerkonti (både i mobilappen og på webpanelet) bruger et bruger-id og en adgangskode, som er nemme at gætte. Bruger-id’et er nemlig baseret på trackerens IMEI og er fortløbende, og adgangskoden er, som nævnt ovenfor, den samme standardadgangskode for alle enheder – nemlig «123456».
Det betyder i praksis, at angribere kan iværksætte et automatiseret angreb mod cloudserveren hos Shenzhen i365-Tech ved at gennemgå alle bruger-id’er et efter et og bruge den samme adgangskode til at hacke brugerkontiene.
Heldigvis er det ikke forbudt for brugerne at ændre adgangskoden til GPS-trackerne, men Avasts analytikere scannede over 4.000.000 id’er og opdagede, at mere end 600.000 konti stadig brugte standardadgangskoden. Det reelle antal GPS-trackere med standardadgangskoder er sandsynligvis langt højere.
De plus, le problème est aggravé par le fait que de tels appareils sont équipés de microphones intégrés et de cartes SIM permettant aux enfants et aux personnes âgées de passer des appels SOS et de communiquer avec les membres de leur famille. Les chercheurs ont découvert que compromettre le suivi permettait en fait aux attaquants d’appeler leurs numéros, de répondre à ces appels, puis d’espionner le propriétaire et de les localiser.
De fundne sårbarheder udgør også en trussel mod producenten selv. Sagen er, at sårbare konti oprettes i skyen umiddelbart efter fremstillingen af GPS-trackerne. Teoretisk set kunne en konkurrent overtage kontrollen over disse konti, allerede inden enhederne bliver solgt, og ændre adgangskoderne, så kontiene bliver låst, hvilket skaber problemer for Shenzhen i365-Tech og forhandlerne.
Alle de problemer, eksperterne har beskrevet, er stadig aktuelle, da repræsentanter for Shenzhen i365-Tech ikke har svaret på forskernes mange henvendelser. Avast-analytikerne anbefaler på det kraftigste, at brugere af sårbare trackere straks ændrer deres adgangskoder. En komplet liste over de sårbare enheder findes i slutningen af ekspertrapporten.
