Experts van Avast hebben ontdekt dat meer dan 600.000 gps-trackers, die worden gebruikt om de locatie van kinderen, ouderen, huisdieren, auto’s en meer te volgen, het wachtwoord “123456” gebruikten.
Door het standaardwachtwoord te gebruiken om gebruikersaccounts te hacken, kunnen aanvallers meeluisteren met gesprekken in de buurt van de gps-tracker, de werkelijke locatie van het apparaat vervalsen en ook het nummer van de simkaart achterhalen die in de tracker zit.
Het begon allemaal met de ontdekking van problemen bij de T8 Mini-trackers van het Chinese IoT-bedrijf Shenzhen i365-Tech. De experts ontdekten echter al snel dat het wachtwoord “123456” ook werd gebruikt voor 30 andere modellen gps-trackers van hetzelfde bedrijf, waarvan sommige als white label werden verkocht en onder de merknamen van andere bedrijven op de markt werden gebracht.
Alle problematische trackers hebben dezelfde infrastructuur: een cloudserver waaraan de tracker zijn gegevens “rapporteert”, een webpaneel (dat klanten via een browser gebruiken om de locatie van het apparaat te controleren) en een vergelijkbare mobiele app die eveneens verbinding maakt met dezelfde cloudserver.
Hoewel de experts van Avast meteen een aantal problemen in de beschreven infrastructuur signaleerden, is het belangrijkste dat alle gebruikersaccounts (zowel in de mobiele app als in het webpaneel) een gebruikers-ID en wachtwoord hanteren die gemakkelijk te achterhalen zijn. Het gebruikers-ID is namelijk gebaseerd op het IMEI-nummer van de tracker en loopt sequentieel op, terwijl het wachtwoord, zoals hierboven vermeld, standaard voor alle apparaten hetzelfde is: “123456”.
In de praktijk betekent dit dat aanvallers een geautomatiseerde aanval kunnen uitvoeren op de cloudserver van Shenzhen i365-Tech, door alle gebruikers-ID’s één voor één langs te lopen en hetzelfde wachtwoord te gebruiken om de gebruikersaccounts te hacken.
Gelukkig is het gebruikers niet verboden het wachtwoord van de gps-trackers te wijzigen, maar de analisten van Avast scanden meer dan 4.000.000 ID’s en ontdekten dat meer dan 600.000 accounts nog steeds het standaardwachtwoord gebruikten. Het werkelijke aantal gps-trackers met standaardwachtwoorden ligt waarschijnlijk veel hoger.
Bovendien wordt het probleem verergerd door het feit dat dergelijke apparaten zijn uitgerust met ingebouwde microfoons en simkaarten, zodat kinderen en ouderen sos-oproepen kunnen plaatsen en contact kunnen houden met familieleden. De onderzoekers ontdekten dat aanvallers door een tracker te compromitteren in feite hun nummers konden bellen, die oproepen konden beantwoorden en vervolgens de eigenaar konden afluisteren en lokaliseren.
De gevonden kwetsbaarheden vormen ook een bedreiging voor het producerende bedrijf zelf. Kwetsbare accounts worden namelijk in de cloud aangemaakt zodra de gps-trackers zijn geproduceerd. In theorie zou een concurrent de controle over deze accounts kunnen overnemen nog voordat de apparaten worden verkocht en de wachtwoorden kunnen wijzigen, waardoor de accounts worden geblokkeerd en problemen ontstaan voor Shenzhen i365-Tech en de wederverkopers.
Alle door de experts beschreven problemen zijn nog altijd actueel, aangezien de vertegenwoordigers van Shenzhen i365-Tech niet hebben gereageerd op de vele verzoeken van de onderzoekers. De analisten van Avast raden gebruikers van kwetsbare trackers dringend aan hun wachtwoorden onmiddellijk te wijzigen. Een volledige lijst van kwetsbare apparaten staat aan het einde van het rapport van de experts.
