Os especialistas da Avast descobriram que mais de 600 000 localizadores GPS utilizados para monitorizar a localização de crianças, idosos, animais de estimação, automóveis, entre outros, usavam a palavra-passe «123456».
Ao utilizar a palavra-passe predefinida para piratear contas de utilizadores, os atacantes podem escutar as conversas junto ao localizador GPS, simular a localização real do dispositivo e ainda descobrir o número do cartão SIM ligado ao localizador.
Tudo começou com a deteção de problemas nos localizadores T8 Mini da empresa chinesa de IoT Shenzhen i365-Tech. No entanto, os especialistas depressa descobriram que a palavra-passe «123456» também era usada em outros 30 modelos de localizadores GPS produzidos pela mesma empresa, alguns dos quais eram vendidos como marca branca e apresentados no mercado sob marcas de outras empresas.
Todos os localizadores problemáticos partilham a mesma infraestrutura, que consiste num servidor na nuvem ao qual o localizador «reporta», num painel Web (que os clientes utilizam através de navegadores para verificar a localização do dispositivo), bem como numa aplicação móvel semelhante que se liga igualmente ao mesmo servidor na nuvem.
Embora os especialistas da Avast tenham identificado de imediato vários problemas na infraestrutura descrita, o mais importante é o facto de todas as contas de utilizador (tanto na aplicação móvel como no painel Web) utilizarem um ID de utilizador e uma palavra-passe fáceis de descobrir. Assim, o ID de utilizador baseia-se no IMEI do localizador e é sequencial, e a palavra-passe, como referido acima, é por predefinição a mesma para todos os dispositivos: «123456».
Na prática, isto significa que os atacantes podem lançar um ataque automatizado ao servidor na nuvem da Shenzhen i365-Tech, percorrendo todos os IDs de utilizador um a um e usando a mesma palavra-passe para piratear as contas de utilizador.
Heureusement, il n’est pas interdit aux utilisateurs de modifier le mot de passe des tracks GPS, mais les analystes d’Avast ont numérisé plus de 4 000 000 identifiants et ont découvert que plus de 600 000 comptes utilisaient toujours le mot de passe par défaut. Le nombre réel de trackers GPS avec des mots de passe par défaut sera probablement beaucoup plus élevé.
Além disso, o problema é agravado pelo facto de estes dispositivos estarem equipados com microfones integrados e cartões SIM que permitem a crianças e idosos fazer chamadas de SOS e comunicar com os familiares. Os investigadores descobriram que, ao comprometer o localizador, os atacantes podiam, na prática, ligar para esses números, atender as chamadas, espiar o proprietário e localizá-lo.
As vulnerabilidades encontradas ameaçam também a própria empresa fabricante. Acontece que as contas vulneráveis são criadas na nuvem logo após o fabrico dos localizadores GPS. Em teoria, um concorrente poderia assumir o controlo dessas contas antes mesmo de os dispositivos serem vendidos e alterar as palavras-passe, bloqueando as contas e criando problemas à Shenzhen i365-Tech e aos revendedores.
Todos os problemas descritos pelos especialistas continuam por resolver, uma vez que os representantes da Shenzhen i365-Tech não responderam aos numerosos pedidos dos investigadores. Os analistas da Avast recomendam vivamente aos utilizadores de localizadores vulneráveis que alterem imediatamente as suas palavras-passe. Uma lista completa dos dispositivos vulneráveis é apresentada no final do relatório dos especialistas.
