Οι ειδικοί της Avast ανακάλυψαν ότι περισσότεροι από 600.000 ιχνηλάτες GPS που χρησιμοποιούνται για την παρακολούθηση της τοποθεσίας παιδιών, ηλικιωμένων, κατοικίδιων, αυτοκινήτων κ.λπ., χρησιμοποιούσαν τον κωδικό πρόσβασης «123456».
Χρησιμοποιώντας τον προεπιλεγμένο κωδικό πρόσβασης για να παραβιάσουν λογαριασμούς χρηστών, οι επιτιθέμενοι μπορούν να παρακολουθούν συνομιλίες δίπλα στον ιχνηλάτη GPS, να προσομοιώσουν την πραγματική τοποθεσία της συσκευής και να μάθουν επίσης τον αριθμό της κάρτας SIM που είναι συνδεδεμένη στον ιχνηλάτη.
Όλα ξεκίνησαν με τον εντοπισμό προβλημάτων στους ανιχνευτές T8 Mini της κινεζικής εταιρείας IoT, Shenzhen i365-Tech. Ωστόσο, οι ειδικοί ανακάλυψαν γρήγορα ότι ο κωδικός «123456» χρησιμοποιούνταν επίσης για 30 άλλα μοντέλα ιχνηλατών GPS που παράγονταν από την ίδια εταιρεία, μερικά από τα οποία πωλούνταν με λευκή ετικέτα και παρουσιάζονταν στην αγορά με τα σήματα άλλων εταιρειών.
Όλοι οι προβληματικοί ιχνηλάτες έχουν την ίδια υποδομή, η οποία αποτελείται από έναν διακομιστή cloud στον οποίο ο ιχνηλάτης «αναφέρει» έναν διαδικτυακό πίνακα ελέγχου (τον οποίο οι πελάτες χρησιμοποιούν μέσω προγραμμάτων περιήγησης για να ελέγχουν την τοποθεσία της συσκευής), καθώς και μια παρόμοια εφαρμογή για κινητά που συνδέεται επίσης στον ίδιο διακομιστή cloud.
Αν και οι ειδικοί της Avast εντόπισαν αμέσως μια σειρά προβλημάτων στην περιγραφόμενη υποδομή, το σημαντικότερο από αυτά είναι ότι όλοι οι λογαριασμοί χρηστών (τόσο στην εφαρμογή για κινητά όσο και στον διαδικτυακό πίνακα ελέγχου) χρησιμοποιούν ένα αναγνωριστικό χρήστη και έναν κωδικό πρόσβασης, που είναι εύκολα αναγνωρίσιμα. Έτσι, το αναγνωριστικό χρήστη βασίζεται στο IMEI του ιχνηλάτη και είναι διαδοχικό, ενώ ο κωδικός πρόσβασης, όπως αναφέρθηκε παραπάνω, είναι από προεπιλογή ο ίδιος για όλες τις συσκευές — είναι το «123456».
Στην πραγματικότητα, αυτό σημαίνει ότι οι επιτιθέμενοι μπορούν να εξαπολύσουν μια αυτοματοποιημένη επίθεση στον διακομιστή cloud της Shenzhen i365-Tech, δοκιμάζοντας ένα προς ένα όλα τα αναγνωριστικά χρηστών και χρησιμοποιώντας τον ίδιο κωδικό πρόσβασης για να παραβιάσουν τους λογαριασμούς χρηστών.
Ευτυχώς, δεν απαγορεύεται στους χρήστες να αλλάξουν τον κωδικό πρόσβασης των ιχνηλατών GPS, ωστόσο οι αναλυτές της Avast σάρωσαν πάνω από 4.000.000 διαπιστευτήρια και διαπίστωσαν ότι περισσότεροι από 600.000 λογαριασμοί εξακολουθούσαν να χρησιμοποιούν τον προεπιλεγμένο κωδικό πρόσβασης. Ο πραγματικός αριθμός των ιχνηλατών GPS με προεπιλεγμένους κωδικούς πρόσβασης είναι πιθανότατα πολύ μεγαλύτερος.
Επιπλέον, το πρόβλημα επιδεινώνεται από το γεγονός ότι τέτοιες συσκευές είναι εξοπλισμένες με ενσωματωμένα μικρόφωνα και κάρτες SIM που επιτρέπουν στα παιδιά και στους ηλικιωμένους να πραγματοποιούν κλήσεις SOS και να επικοινωνούν με μέλη της οικογένειάς τους. Οι ερευνητές διαπίστωσαν ότι, με τη διακύβευση του ιχνηλάτη, οι επιτιθέμενοι μπορούν στην πραγματικότητα να καλέσουν τους αριθμούς του, να απαντήσουν σε αυτές τις κλήσεις και στη συνέχεια να κατασκοπεύσουν τον ιδιοκτήτη και να τον εντοπίσουν.
Οι ευπάθειες που βρέθηκαν απειλούν επίσης την ίδια την εταιρεία κατασκευής. Το γεγονός είναι ότι ευάλωτοι λογαριασμοί δημιουργούνται στο cloud αμέσως μετά την κατασκευή των ιχνηλατών GPS. Θεωρητικά, ένας ανταγωνιστής θα μπορούσε να αποκτήσει τον έλεγχο αυτών των λογαριασμών ακόμη και πριν από την πώληση των συσκευών και να αλλάξει τους κωδικούς πρόσβασης, αποκλείοντας έτσι τους λογαριασμούς και δημιουργώντας προβλήματα για την Shenzhen i365-Tech και τους μεταπωλητές.
Όλα τα προβλήματα που περιγράφονται από τους ειδικούς παραμένουν επίκαιρα, καθώς οι εκπρόσωποι της Shenzhen i365-Tech δεν απάντησαν στα πολλαπλά αιτήματα των ερευνητών. Οι αναλυτές της Avast συνιστούν ανεπιφύλακτα στους χρήστες ευάλωτων ιχνηλατών να αλλάξουν αμέσως τους κωδικούς πρόσβασής τους. Μια πλήρης λίστα με τις ευάλωτες συσκευές παρέχεται στο τέλος της έκθεσης των ειδικών.
