Die Experten von Avast haben entdeckt , dass über 600.000 GPS-Tracker, die zur Standortüberwachung von Kindern, älteren Menschen, Haustieren, Autos usw. genutzt werden, das Passwort „123456“ verwendeten.
Durch die Verwendung des Standardpassworts zum Hacken von Benutzerkonten können Angreifer die Gespräche in der Umgebung des GPS-Trackers mithören, den tatsächlichen Standort des Geräts vortäuschen und außerdem die Nummer der mit dem Tracker verbundenen SIM-Karte in Erfahrung bringen.
Alles begann mit der Entdeckung von Problemen bei den Trackern T8 Mini des chinesischen IoT-Unternehmens Shenzhen i365-Tech. Die Experten stellten jedoch schnell fest, dass das Passwort „123456“ auch bei 30 weiteren GPS-Tracker-Modellen desselben Unternehmens verwendet wurde, von denen einige als White-Label-Produkte verkauft und auf dem Markt unter den Marken anderer Unternehmen angeboten wurden.
Alle problematischen Tracker verfügen über dieselbe Infrastruktur, die aus einem Cloud-Server besteht, an den der Tracker ein Web-Panel „meldet“ (über das Kunden per Browser den Standort des Geräts überprüfen), sowie einer ähnlichen mobilen App, die sich ebenfalls mit demselben Cloud-Server verbindet.
Obwohl die Experten von Avast sofort eine Reihe von Problemen in der beschriebenen Infrastruktur erkannten, ist das schwerwiegendste, dass alle Benutzerkonten (sowohl in der mobilen App als auch im Web-Panel) eine Benutzer-ID und ein Passwort verwenden, die leicht zu erraten sind. So basiert die Benutzer-ID auf der IMEI des Trackers und ist fortlaufend, und das Passwort lautet, wie oben erwähnt, standardmäßig bei allen Geräten gleich – es ist „123456“.
Das bedeutet in der Praxis, dass Angreifer einen automatisierten Angriff auf den Cloud-Server von Shenzhen i365-Tech starten können, indem sie alle Benutzer-IDs nacheinander durchprobieren und dasselbe Passwort verwenden, um Benutzerkonten zu kapern.
Glücklicherweise ist es Benutzern nicht verwehrt, das Passwort der GPS-Tracker zu ändern. Doch die Analysten von Avast haben über 4.000.000 Zugangsdaten überprüft und festgestellt, dass mehr als 600.000 Konten weiterhin das Standardpasswort verwendeten. Die tatsächliche Zahl der GPS-Tracker mit Standardpasswörtern dürfte noch deutlich höher liegen.
Erschwerend kommt hinzu, dass solche Geräte über integrierte Mikrofone und SIM-Karten verfügen, mit denen Kinder und ältere Menschen SOS-Anrufe tätigen und mit ihren Familienmitgliedern kommunizieren können. Die Forscher stellten fest, dass sich durch die Kompromittierung des Trackers Angreifer in der Lage sahen, dessen Nummer anzurufen, diese Anrufe entgegenzunehmen und anschließend den Besitzer auszuspionieren sowie seinen Standort zu ermitteln.
Die entdeckten Schwachstellen gefährden auch das Herstellerunternehmen selbst. Tatsache ist, dass anfällige Konten unmittelbar nach der Fertigung der GPS-Tracker in der Cloud angelegt werden. Theoretisch könnte ein Konkurrent diese Konten noch vor dem Verkauf der Geräte übernehmen und die Passwörter ändern, wodurch die Konten blockiert werden und Probleme für Shenzhen i365-Tech sowie die Wiederverkäufer entstehen.
Alle von den Experten beschriebenen Probleme bestehen weiterhin, da die Vertreter von Shenzhen i365-Tech auf die zahlreichen Anfragen der Forscher nicht reagiert haben. Die Analysten von Avast raten den Nutzern verwundbarer Tracker dringend, ihre Passwörter sofort zu ändern. Eine vollständige Liste der anfälligen Geräte findet sich am Ende des Expertenberichts.
