Les experts d’Avast ont odkryli , że ponad 600 000 lokalizatorów GPS służących do monitorowania położenia dzieci, osób starszych, zwierząt domowych, samochodów itp. używało hasła «123456».
Wykorzystując domyślne hasło do włamania się na konta użytkowników, atakujący mogą podsłuchiwać rozmowy w pobliżu lokalizatora GPS, symulować rzeczywistą lokalizację urządzenia, a także poznać numer karty SIM podłączonej do lokalizatora.
Wszystko zaczęło się od wykrycia problemów z trackerami T8 Mini chińskiej firmy IoT Shenzhen i365-Tech. Eksperci szybko odkryli jednak, że hasło «123456» było również używane w 30 innych modelach lokalizatorów GPS produkowanych przez tę samą firmę, z których część sprzedawano pod białą marką i prezentowano na rynku pod markami innych firm.
Wszystkie problematyczne trackery mają tę samą infrastrukturę, na którą składa się serwer chmurowy, do którego tracker „raportuje” panel internetowy (z którego klienci korzystają za pomocą przeglądarek, aby sprawdzić lokalizację urządzenia), oraz podobna aplikacja mobilna łącząca się z tym samym serwerem chmurowym.
Choć eksperci Avast natychmiast wskazali szereg problemów w opisanej infrastrukturze, najważniejszym z nich jest fakt, że wszystkie konta użytkowników (zarówno w aplikacji mobilnej, jak i w panelu internetowym) korzystają z identyfikatora użytkownika i hasła, które są łatwe do odgadnięcia. Identyfikator użytkownika opiera się na numerze IMEI trackera i jest sekwencyjny, a hasło, jak wspomniano wyżej, jest domyślnie takie samo dla wszystkich urządzeń – to «123456».
W praktyce oznacza to, że atakujący mogą przeprowadzić zautomatyzowany atak na serwer chmurowy Shenzhen i365-Tech, przechodząc po kolei przez wszystkie identyfikatory użytkowników i używając tego samego hasła do włamania się na konta użytkowników.
Na szczęście użytkownicy mogą zmienić hasło do lokalizatorów GPS, jednak analitycy Avast przeskanowali ponad 4 000 000 identyfikatorów i stwierdzili, że ponad 600 000 kont nadal korzysta z domyślnego hasła. Rzeczywista liczba lokalizatorów GPS z domyślnymi hasłami będzie prawdopodobnie znacznie wyższa.
Dodatkowo problem potęguje fakt, że takie urządzenia są wyposażone we wbudowane mikrofony oraz karty SIM, które pozwalają dzieciom i osobom starszym wykonywać połączenia SOS i kontaktować się z członkami rodziny. Badacze odkryli, że przejęcie kontroli nad lokalizatorem umożliwia atakującym wykonywanie połączeń na jego numer, odbieranie tych połączeń, a następnie podsłuchiwanie właściciela i jego lokalizowanie.
Wykryte luki zagrażają również samemu producentowi. Konta podatne na ataki są tworzone w chmurze zaraz po wyprodukowaniu lokalizatorów GPS. Teoretycznie konkurent mógłby przejąć kontrolę nad tymi kontami jeszcze przed sprzedażą urządzeń i zmienić hasła, blokując konta i powodując problemy dla Shenzhen i365-Tech oraz sprzedawców.
Wszystkie problemy opisane przez ekspertów są nadal aktualne, ponieważ przedstawiciele Shenzhen i365-Tech nie odpowiedzieli na liczne prośby badaczy. Analitycy Avast gorąco zalecają użytkownikom podatnych trackerów natychmiastową zmianę haseł. Pełna lista podatnych urządzeń znajduje się na końcu raportu eksperckiego.
