Эксперты Avast обнаружили, что более 600 000 GPS-трекеров, используемых для слежения за местоположением детей, пожилых людей, домашних животных, автомобилей и т. д., использовали пароль «123456».
Используя пароль по умолчанию для взлома учётных записей пользователей, злоумышленники могут прослушивать разговоры рядом с GPS-трекером, имитировать реальное местоположение устройства, а также узнать номер SIM-карты, подключённой к трекеру.
Всё началось с обнаружения проблем в трекерах T8 Mini китайской IoT-компании Shenzhen i365-Tech. Однако эксперты быстро выяснили, что пароль «123456» также использовался в 30 других моделях GPS-трекеров, выпускаемых той же компанией, некоторые из которых продавались под белой маркой и выводились на рынок под брендами других компаний.
Все проблемные трекеры имеют одинаковую инфраструктуру: облачный сервер, на который трекер «передаёт» данные, веб-панель (которой клиенты пользуются через браузер для проверки местоположения устройства), а также похожее мобильное приложение, которое подключается к тому же облачному серверу.
Хотя эксперты Avast сразу выявили ряд проблем в описанной инфраструктуре, самая серьёзная из них заключается в том, что все учётные записи пользователей (как в мобильном приложении, так и на веб-панели) используют идентификатор пользователя и пароль, которые легко подобрать. Так, идентификатор пользователя основан на IMEI трекера и является последовательным, а пароль, как уже упоминалось выше, по умолчанию одинаков для всех устройств — это «123456».
Фактически это означает, что злоумышленники могут провести автоматизированную атаку на облачный сервер Shenzhen i365-Tech, перебирая все идентификаторы пользователей по порядку и используя один и тот же пароль для взлома учётных записей.
К счастью, пользователям не запрещено менять пароль GPS-трекеров, однако аналитики Avast проверили более 4 000 000 учётных данных и обнаружили, что более 600 000 аккаунтов по-прежнему используют пароль по умолчанию. Реальное число GPS-трекеров с паролями по умолчанию, вероятно, будет значительно выше.
Кроме того, проблема усугубляется тем, что такие устройства оснащены встроенными микрофонами и SIM-картами, позволяющими детям и пожилым людям совершать SOS-вызовы и связываться с членами семьи. Исследователи выяснили, что, скомпрометировав трекер, злоумышленники могут звонить на его номер, отвечать на эти вызовы, а затем шпионить за владельцем и определять его местоположение.
Обнаруженные уязвимости также угрожают самой производственной компании. Дело в том, что уязвимые учётные записи создаются в облаке сразу после изготовления GPS-трекеров. Теоретически конкурент может захватить эти учётные записи ещё до продажи устройств и изменить пароли, заблокировав аккаунты и создав проблемы для Shenzhen i365-Tech и перепродавцов.
Все проблемы, описанные экспертами, по-прежнему актуальны, поскольку представители Shenzhen i365-Tech не ответили на многочисленные запросы исследователей. Аналитики Avast настоятельно рекомендуют пользователям уязвимых трекеров немедленно сменить пароли. Полный список уязвимых устройств приведён в конце экспертного отчёта.
