Experter på Avast har upptäckt att över 600 000 GPS-spårare som används för att övervaka var barn, äldre, husdjur, bilar och mycket annat befinner sig använde lösenordet ”123456”.
Genom att använda standardlösenordet för att ta sig in på användarkonton kan angripare lyssna på samtal i närheten av GPS-spåraren, förfalska enhetens verkliga position och dessutom ta reda på numret till det SIM-kort som sitter i spåraren.
Allt började med att man upptäckte problem hos T8 Mini-spårarna från det kinesiska IoT-företaget Shenzhen i365-Tech. Experterna insåg dock snabbt att lösenordet ”123456” också användes för 30 andra modeller av GPS-spårare som tillverkas av samma företag, och att vissa av dem såldes som white label-produkter under andra företags varumärken.
Alla de problematiska spårarna har samma infrastruktur, som består av en molnserver dit spåraren ”rapporterar”, en webbpanel (som kunderna använder via webbläsare för att kontrollera enhetens position) samt en liknande mobilapp som också ansluter till samma molnserver.
Även om Avasts experter omedelbart identifierade flera problem i den beskrivna infrastrukturen är det allvarligaste att alla användarkonton (både i mobilappen och på webbpanelen) använder ett användar-ID och ett lösenord som är lätta att gissa. Användar-ID:t baseras på spårarens IMEI-nummer och är sekventiellt, och lösenordet är, som nämnts ovan, detsamma som standard för alla enheter – nämligen ”123456”.
I praktiken innebär det att angripare kan genomföra en automatiserad attack mot molnservern hos Shenzhen i365-Tech genom att gå igenom alla användar-ID:n ett efter ett och använda samma lösenord för att ta sig in på användarkontona.
Lyckligtvis är det inte förbjudet för användare att byta lösenord på sina GPS-spårare, men Avasts analytiker skannade över 4 000 000 ID:n och fann att över 600 000 konton fortfarande använde standardlösenordet. Det verkliga antalet GPS-spårare med standardlösenord är sannolikt betydligt högre.
Problemet förvärras dessutom av att sådana enheter har inbyggda mikrofoner och SIM-kort som gör det möjligt för barn och äldre att ringa SOS-samtal och kommunicera med familjemedlemmar. Forskarna upptäckte att en komprometterad spårare i praktiken gjorde det möjligt för angripare att ringa upp dessa nummer, svara på samtalen och sedan spionera på ägaren och lokalisera dem.
De upptäckta sårbarheterna utgör också ett hot mot tillverkaren själv. Sårbara konton skapas nämligen i molnet direkt efter att GPS-spårarna har tillverkats. Teoretiskt sett skulle en konkurrent kunna ta över kontona redan innan enheterna har sålts och ändra lösenorden, vilket låser kontona och skapar problem för Shenzhen i365-Tech och återförsäljarna.
Alla problem som experterna beskriver är fortfarande aktuella, eftersom företrädare för Shenzhen i365-Tech inte har svarat på forskarnas upprepade förfrågningar. Avasts analytiker rekommenderar starkt att användare av sårbara spårare byter lösenord omedelbart. En fullständig lista över sårbara enheter finns i slutet av expertrapporten.
