Avast uzmanları, çocukların, yaşlıların, evcil hayvanların, araçların vb. konumunu izlemek için kullanılan 600.000’den fazla GPS takip cihazının “123456” parolasını kullandığını keşfetti.
Saldırganlar, varsayılan parolayı kullanarak kullanıcı hesaplarına sızarak GPS izleyicinin yanındaki konuşmaları dinleyebilir, cihazın gerçek konumunu taklit edebilir ve ayrıca izleyiciye bağlı SIM kartın numarasını öğrenebilir.
Her şey, Çinli IoT şirketi Shenzhen i365-Tech’in T8 Mini izleyicilerinde tespit edilen sorunlarla başladı. Ancak uzmanlar, «123456» parolasının aynı şirket tarafından üretilen ve bazıları beyaz etiketli olarak satılan ve diğer şirketlerin markaları altında piyasaya sunulan 30 başka GPS izleyici modelinde de kullanıldığını kısa sürede keşfetti.
Sorunlu tüm izleyicilerin aynı altyapısı vardır: İzleyicinin «rapor verdiği» bir bulut sunucusu ile müşterilerin cihazın konumunu kontrol etmek için tarayıcılar üzerinden kullandığı bir web paneli ve aynı bulut sunucusuna bağlanan benzer bir mobil uygulama.
Avast uzmanları, tanımlanan altyapıda hemen birçok sorun tespit etmiş olsa da bunlar arasında en önemlisi, tüm kullanıcı hesaplarının (hem mobil uygulamada hem de web panelinde) kolayca tahmin edilebilir bir kullanıcı kimliği ve parola kullanmasıdır. Kullanıcı kimliği izleyicinin IMEI numarasına dayanır ve ardışık olarak oluşturulur; parola ise yukarıda belirtildiği gibi tüm cihazlarda varsayılan olarak aynı olan «123456»dır.
Aslında bu, saldırganların Shenzhen i365-Tech bulut sunucusuna karşı otomatik bir saldırı başlatabileceği, tüm kullanıcı kimliklerini tek tek deneyip aynı parolayı kullanarak kullanıcı hesaplarına sızabileceği anlamına gelir.
Neyse ki kullanıcıların GPS izleyicilerinin parolasını değiştirmesi yasak değil; ancak Avast analistleri 4.000.000’dan fazla kimlik bilgisini taradı ve 600.000’den fazla hesabın hâlâ varsayılan parolayı kullandığını tespit etti. Varsayılan parolalı GPS izleyicilerinin gerçek sayısının muhtemelen çok daha yüksek olduğu düşünülüyor.
Ayrıca sorun, bu tür cihazların çocukların ve yaşlıların SOS çağrısı yapabilmesi ve aile üyeleriyle iletişim kurabilmesi için yerleşik mikrofonlar ve SIM kartlarla donatılmış olmasıyla daha da ağırlaşıyor. Araştırmacılar, izleyicinin ele geçirilmesiyle saldırganların cihazın numarasını arayabildiğini, bu aramalara cevap verip sahibini dinleyebildiğini ve konumunu belirleyebildiğini keşfetti.
Bulunan güvenlik açıkları üretici şirketin kendisini de tehdit ediyor. Şöyle ki GPS izleyiciler üretildikten hemen sonra bulutta savunmasız hesaplar oluşturuluyor. Teorik olarak bir rakip, cihazlar satılmadan önce bu hesapların kontrolünü ele geçirip parolaları değiştirerek hesapları kilitleyebilir ve Shenzhen i365-Tech ile satıcılar için sorunlar yaratabilir.
Uzmanların tanımladığı tüm sorunlar hâlâ geçerliliğini koruyor, çünkü Shenzhen i365-Tech temsilcileri araştırmacıların çok sayıda talebine yanıt vermedi. Avast analistleri, savunmasız izleyici kullanıcılarına parolalarını hemen değiştirmelerini şiddetle tavsiye ediyor. Savunmasız cihazların tam listesi uzman raporunun sonunda yer almaktadır.
