Avasts eksperter har oppdaget at mer enn 600 000 GPS-sporere som brukes til å overvåke posisjonen til barn, eldre, kjæledyr, biler og mer, brukte passordet «123456».
Ved å bruke standardpassordet til å kapre brukerkontoer kan angripere avlytte samtaler i nærheten av GPS-sporeren, forfalske enhetens faktiske posisjon og i tillegg finne ut nummeret til SIM-kortet som er koblet til sporeren.
Alt begynte med at man oppdaget problemer med T8 Mini-sporerne fra det kinesiske IoT-selskapet Shenzhen i365-Tech. Ekspertene fant imidlertid raskt ut at passordet «123456» også ble brukt på 30 andre modeller av GPS-sporere produsert av samme selskap, hvorav noen ble solgt som white label og markedsført under andre selskapers merkenavn.
Alle de problematiske sporerne har den samme infrastrukturen, som består av en skyserver som sporeren «rapporterer» til, et nettpanel (som kundene bruker via nettleser for å sjekke enhetens posisjon) og en tilsvarende mobilapp som også kobler seg til den samme skyserveren.
Selv om Avast-ekspertene umiddelbart identifiserte en rekke problemer i den beskrevne infrastrukturen, er det viktigste at alle brukerkontoer (både i mobilappen og i nettpanelet) bruker en bruker-ID og et passord som er enkle å gjette. Bruker-ID-en er basert på sporerens IMEI og er sekvensiell, mens passordet, som nevnt ovenfor, er det samme standardpassordet for alle enheter – «123456».
I praksis betyr dette at angripere kan gjennomføre et automatisert angrep mot skyserveren til Shenzhen i365-Tech ved å gå gjennom alle bruker-ID-er én etter én og bruke det samme passordet til å kapre brukerkontoene.
Heldigvis er det ikke forbudt for brukere å endre passordet på GPS-sporerne, men Avasts analytikere skannet over 4 000 000 identifikatorer og fant ut at mer enn 600 000 kontoer fortsatt brukte standardpassordet. Det reelle antallet GPS-sporere med standardpassord er sannsynligvis mye høyere.
De plus, le problème est aggravé par le fait que de tels appareils sont équipés de microphones intégrés et de cartes SIM permettant aux enfants et aux personnes âgées de passer des appels SOS et de communiquer avec les membres de leur famille. Les chercheurs ont découvert que compromettre le suivi permettait en fait aux attaquants d’appeler leurs numéros, de répondre à ces appels, puis d’espionner le propriétaire et de les localiser.
De avdekkede sårbarhetene truer også selve produsenten. Saken er at sårbare kontoer opprettes i skyen umiddelbart etter at GPS-sporerne er produsert. I teorien kunne en konkurrent ta kontroll over disse kontoene allerede før enhetene selges og endre passordene, slik at kontoene blir låst og det oppstår problemer for Shenzhen i365-Tech og forhandlerne.
Alle problemene som ekspertene beskriver, er fortsatt aktuelle, siden representantene for Shenzhen i365-Tech ikke har svart på forskernes mange henvendelser. Avast-analytikerne anbefaler på det sterkeste at brukere av sårbare sporere endrer passordene sine umiddelbart. En fullstendig liste over sårbare enheter finnes på slutten av ekspertrapporten.
