Az Avast szakértői felfedezték , hogy több mint 600 000 GPS-nyomkövető, amelyeket gyermekek, idősek, háziállatok, autók és egyebek tartózkodási helyének megfigyelésére használnak, a „123456” jelszót használta.
A támadók az alapértelmezett jelszó használatával a felhasználói fiókokba behatolva kihallgathatják a GPS-nyomkövető közelében zajló beszélgetéseket, szimulálhatják a készülék valós helyzetét, és emellett megtudhatják a nyomkövetőhöz csatlakoztatott SIM-kártya számát.
Minden a Shenzhen i365-Tech kínai IoT-cég T8 Mini nyomkövetőin észlelt problémákkal kezdődött. A szakértők hamarosan azonban azt is felfedezték, hogy a «123456» jelszót ugyanennek a cégnek a gyártott GPS-nyomkövetőinek további 30 másik modelljénél is használták, amelyek közül néhányat fehér címkével értékesítettek, és más cégek márkanevei alatt jelentek meg a piacon.
Minden problémás nyomkövető azonos infrastruktúrával rendelkezik, amely egy felhőszerverből áll, amelyhez a nyomkövető egy webes felületet „jelent” (ezt az ügyfelek böngészőn keresztül használják a készülék helyzetének ellenőrzésére), valamint egy hasonló mobilalkalmazásból, amely szintén ugyanahhoz a felhőszerverhez csatlakozik.
Bár az Avast szakértői azonnal számos problémát azonosítottak a leírt infrastruktúrában, ezek közül a legfontosabb az, hogy minden felhasználói fiók (mind a mobilalkalmazásban, mind a webes felületen) könnyen kitalálható felhasználói azonosítót és jelszót használ. A felhasználói azonosító a nyomkövető IMEI-számán alapul, és sorszámozott, a jelszó pedig, ahogy fentebb említettük, alapértelmezés szerint minden készüléknél ugyanaz – vagyis «123456».
Ez valójában azt jelenti, hogy a támadók automatizált támadást indíthatnak a Shenzhen i365-Tech felhőszerver ellen: egymás után végigpróbálhatják az összes felhasználói azonosítót, és ugyanazt a jelszót használva törhetik fel a felhasználói fiókokat.
Szerencsére a felhasználóknak nem tilos megváltoztatniuk a GPS-nyomkövetők jelszavát, az Avast elemzői azonban több mint 4 000 000 azonosítót vizsgáltak meg, és azt találták, hogy több mint 600 000 fiók még mindig az alapértelmezett jelszót használja. A még alapértelmezett jelszóval rendelkező GPS-nyomkövetők valódi száma valószínűleg ennél is jóval magasabb.
A helyzetet tovább súlyosbítja, hogy az ilyen készülékek beépített mikrofonnal és olyan SIM-kártyával vannak felszerelve, amelynek segítségével a gyermekek és az idősek SOS-hívásokat indíthatnak, és kapcsolatba léphetnek családtagjaikkal. A kutatók megállapították, hogy a nyomkövető feltörésével a támadók fel tudják hívni a készülék számát, fogadhatják ezeket a hívásokat, majd kihallgathatják a tulajdonost, és meghatározhatják a tartózkodási helyét.
A talált sebezhetőségek magát a gyártó vállalatot is veszélyeztetik. Az a helyzet, hogy a sebezhető fiókok a GPS-nyomkövetők gyártása után azonnal létrejönnek a felhőben. Elméletileg egy versenytárs még a készülékek eladása előtt átveheti ezeknek a fiókoknak az irányítását, és megváltoztathatja a jelszavakat, ezzel lezárva a fiókokat, és problémákat okozva a Shenzhen i365-Tech cégnek és a viszonteladóknak.
A szakértők által leírt problémák továbbra is fennállnak, mivel a Shenzhen i365-Tech képviselői nem válaszoltak a kutatók számos megkeresésére. Az Avast elemzői határozottan javasolják a sebezhető nyomkövetők felhasználóinak, hogy azonnal változtassák meg jelszavukat. A sebezhető készülékek teljes listája a szakértői jelentés végén található.
