Специалисты компании Avast обнаружили, что более 600 000 GPS-трекеров, применяющихся для мониторинга местоположения детей, пожилых людей, домашних животных, автомобилей и так далее, используют пароль «123456».
Использовав пароль по умолчанию для взлома учетных записей пользователей, злоумышленники могут подслушивать разговоры рядом с GPS-трекером, подделать реальное местоположение устройства, а также узнать номер прилагаемой к трекеру SIM-карты.
Все началось с обнаружения проблем в трекерах T8 Mini, производимых китайской IoT-компанией Shenzhen i365-Tech. Однако вскоре специалисты выяснили, что пароль «123456» также используется и для 30 других моделей GPS-трекеров, производимых той же компанией, некоторые из которых продавались как white-label устройства и представлены на рынке под брендами других фирм.
Все проблемные трекеры имеют одинаковую инфраструктуру, которая состоит из облачного сервера, которому «докладывает» трекер, веб-панели (которой клиенты пользуются через браузеры, чтобы проверить местоположение девайса), а также аналогичного мобильного приложения, которое тоже подключается к тому же облачному серверу.
Хотя эксперты Avast выявили сразу ряд проблем в описанной инфраструктуре, самой большой из них является тот факт, что все учетные записи пользователей (как в мобильном приложении, так и веб-панели), используют user ID и пароль, которые легко подобрать. Так, user ID основывается на IMEI трекера и является последовательным, а пароль, как уже было сказано выше, вообще по умолчанию одинаков для всех устройств – это «123456».
Фактически это означает, что злоумышленники могут запустить автоматизированную атаку на облачный сервер Shenzhen i365-Tech, перебирая все user ID один за другим и используя один и тот же пароль для взлома учетных записей пользователей.
К счастью, менять пароль от GPS-трекеров пользователям не запрещено, однако аналитики Avast просканировали более 4 000 000 идентификаторов и обнаружили, что свыше 600 000 учетных записей по-прежнему используют пароль по умолчанию. Реальное количество GPS-трекеров с паролями по умолчанию, скорее всего, намного выше.
Более того, проблема усугубляется тем, что такие устройства комплектуются встроенными микрофонами и SIM-картами, чтобы дети и пожилые люди могли осуществлять SOS-вызовы и связываться с членами своей семьи. Исследователи выяснили, что компрометация трекера фактически позволит злоумышленникам осуществлять телефонные звонки на свои номера, отвечать на эти звонки, а затем шпионить за владельцем трекеров.
Также найденные уязвимости угрожают и самой компании-производителю. Дело в том, что уязвимые учетные записи создаются в облаке сразу после изготовления GPS-трекеров. Теоретически, конкурент может захватить контроль над этими аккаунтами еще до того, как сами устройства были проданы, и изменить пароли, тем самым эффективно блокировав учетные записи и создав проблемы для Shenzhen i365-Tech и реселлеров.
Все описанные экспертами проблемы актуальны до сих пор, так как представители Shenzhen i365-Tech никак не отреагировали на многочисленные запросы исследователей. Аналитики Avast настоятельно рекомендуют пользователям уязвимых трекеров немедленно сменить пароли. Полный список уязвимых устройств приведен в конце отчета специалистов.
