Les experts d’Avast ont виявили що понад 600 000 GPS-трекерів, які використовуються для стеження за місцезнаходженням дітей, літніх людей, домашніх тварин, автомобілів тощо, використовували пароль «123456».
Використовуючи стандартний пароль для зламу облікових записів користувачів, зловмисники можуть прослуховувати розмови поруч із GPS-трекером, імітувати справжнє місцезнаходження пристрою, а також дізнатися номер SIM-картки, підключеної до трекера.
Усе почалося з виявлення проблем із трекерами T8 Mini китайської IoT-компанії Shenzhen i365-Tech. Проте експерти швидко з’ясували, що пароль «123456» також використовувався для 30 інших моделей GPS-трекерів, які виробляє та сама компанія, деякі з яких продавалися під чужим брендом і представлялися на ринку під марками інших компаній.
Усі проблемні трекери мають однакову інфраструктуру, яка складається з хмарного сервера, до якого трекер «передає дані» на веб-панель (через яку клієнти відстежують місцезнаходження пристрою у браузерах), а також подібного мобільного застосунку, який також підключається до того самого хмарного сервера.
Хоча експерти Avast одразу виявили низку проблем в описаній інфраструктурі, найважливішою з них є те, що всі облікові записи користувачів (як у мобільному застосунку, так і на веб-панелі) використовують ID користувача та пароль, які легко підібрати. Так, ID користувача базується на IMEI трекера і є послідовним, а пароль, як уже згадувалося вище, за замовчуванням однаковий для всіх пристроїв — це «123456».
Фактично це означає, що зловмисники можуть провести автоматизовану атаку на хмарний сервер Shenzhen i365-Tech, перебираючи всі ID користувачів по одному та використовуючи той самий пароль для зламу облікових записів користувачів.
На щастя, користувачам не заборонено змінювати пароль GPS-трекерів, однак аналітики Avast проскanuвали понад 4 000 000 облікових даних і виявили, що понад 600 000 облікових записів досі використовують пароль за замовчуванням. Фактична кількість GPS-трекерів зі стандартними паролями, ймовірно, значно вища.
Крім того, проблему посилює той факт, що такі пристрої оснащені вбудованими мікрофонами та SIM-картками, які дозволяють дітям і літнім людям здійснювати SOS-виклики та спілкуватися з членами родини. Дослідники з’ясували, що компрометація трекера дозволяла зловмисникам телефонувати на його номери, відповідати на ці дзвінки, а потім шпигувати за власником і визначати його місцезнаходження.
Виявлені вразливості також загрožують самій виробничій компанії. Справа в тому, що вразливі облікові записи створюються в хмарі відразу після виготовлення GPS-трекерів. Теоретично конкурент міг би захопити контроль над цими обліковими записами ще до продажу пристроїв і змінити паролі, блокуючи облікові записи та створюючи проблеми для Shenzhen i365-Tech і перепродавців.
Усі проблеми, описані експертами, досі актуальні, оскільки представники Shenzhen i365-Tech не відповіли на численні запити дослідників. Аналітики Avast настійно рекомендують користувачам вразливих трекерів негайно змінити свої паролі. Повний перелік вразливих пристроїв наведено в кінці експертного звіту.
