Les experts d’Avast ont descoperit că peste 600.000 de trackere GPS utilizate pentru monitorizarea locației copiilor, a persoanelor în vârstă, a animalelor de companie, a mașinilor etc. foloseau parola „123456”.
Prin utilizarea parolei implicite pentru a sparge conturile utilizatorilor, atacatorii pot asculta conversațiile din apropierea trackerului GPS, pot simula locația reală a dispozitivului și pot afla, de asemenea, numărul cartelei SIM conectate la tracker.
Totul a pornit de la detectarea unor probleme la trackerele T8 Mini ale companiei chineze IoT Shenzhen i365-Tech. Cu toate acestea, experții au descoperit rapid că parola „123456” era utilizată și pentru alte 30 de modele de trackere GPS produse de aceeași companie, dintre care unele erau vândute sub marcă albă și prezentate pe piață sub brandurile altor companii.
Toate trackerele problematice au aceeași infrastructură, care constă dintr-un server cloud către care trackerul „raportează” un panou web (pe care clienții îl folosesc prin intermediul browserelor pentru a verifica locația dispozitivului), precum și o aplicație mobilă similară care se conectează, de asemenea, la același server cloud.
Deși experții Avast au identificat imediat o serie de probleme în infrastructura descrisă, cea mai importantă dintre ele este faptul că toate conturile de utilizator (atât în aplicația mobilă, cât și în panoul web) folosesc un ID de utilizator și o parolă ușor de descoperit. Astfel, ID-ul de utilizator se bazează pe IMEI-ul trackerului și este secvențial, iar parola, după cum s-a menționat mai sus, este implicit aceeași pentru toate dispozitivele – și anume „123456”.
De fapt, aceasta înseamnă că atacatorii pot lansa un atac automatizat asupra serverului cloud Shenzhen i365-Tech, parcurgând pe rând toți ID-urile de utilizator și folosind aceeași parolă pentru a sparge conturile utilizatorilor.
Din fericire, utilizatorilor nu li se interzice să schimbe parola trackerelor GPS, însă analiștii Avast au scanat peste 4.000.000 de identificatori și au descoperit că peste 600.000 de conturi foloseau în continuare parola implicită. Numărul real de trackere GPS cu parole implicite este probabil mult mai mare.
În plus, problema este agravată de faptul că astfel de dispozitive sunt dotate cu microfoane încorporate și cartele SIM, care permit copiilor și vârstnicilor să efectueze apeluri SOS și să comunice cu membrii familiei. Cercetătorii au descoperit că, prin compromiterea trackerului, atacatorii puteau de fapt să apeleze numerele acestuia, să răspundă la aceste apeluri, apoi să îl spioneze pe proprietar și să îl localizeze.
Vulnerabilitățile descoperite amenință și compania producătoare însăși. Cert este că conturile vulnerabile sunt create în cloud imediat după fabricarea trackerelor GPS. Teoretic, un concurent ar putea prelua controlul asupra acestor conturi chiar înainte de vânzarea dispozitivelor și ar putea schimba parolele, blocând astfel conturile și creând probleme pentru Shenzhen i365-Tech și pentru revânzători.
Toate problemele descrise de experți sunt încă actuale, deoarece reprezentanții Shenzhen i365-Tech nu au răspuns numeroaselor solicitări ale cercetătorilor. Analiștii Avast recomandă insistent utilizatorilor de trackere vulnerabile să își schimbe imediat parolele. O listă completă a dispozitivelor vulnerabile este furnizată la finalul raportului experților.
