Chińskie robopsy z ukrytym backdoorem. Producent może podglądać i wydawać komendy

Odkrycie ekspertów ds. cyberbezpieczeństwa może zaniepokoić właścicieli jednego z popularniejszych modeli czworonożnych maszyn sprzedawanych na Zachodzie.  Dwóch badaczy – Andreas Makris i Kevin Finisterr – ujawnia, że roboty Go1 firmy Unitree wyposażono w podejrzaną funkcję zdalnego dostępu, która może umożliwiać pełną kontrolę nad urządzeniem... z poziomu serwerów w Chinach.

Makris i Finisterr przyjrzeli się bliżej oprogramowaniu układowemu (firmware) robotów Unitree Go1 – czworonożnych maszyn wykorzystywanych zarówno w badaniach naukowych, jak i działaniach poszukiwawczo-ratowniczych, edukacyjnych, a nawet wojskowych. Ich analiza wykazała, że urządzenia były dostarczane z preinstalowanym klientem tunelu sieciowego, który automatycznie łączył się z chińską platformą zdalnego dostępu CloudSail.

Oznacza to, że każdy, kto uzyska dostęp do klucza API tej platformy, może zdalnie przejąć kontrolę nad robotem – sterować jego ruchem, uruchamiać kamery wizyjne (i dosłownie „patrzeć jego oczami”), a nawet uzyskać dostęp do Raspberry Pi stanowiącego centrum kontroli urządzenia poprzez SSH.

– „W tym przypadku nie ma znaczenia, czy doszło do nadużycia, czy nie. Sama obecność tej usługi bez wiedzy i zgody użytkownika to poważne naruszenie zasad bezpieczeństwa. Może to zostać odebrane jako działanie złośliwe” – alarmują badacze.

Roboty Unitree Go1, reklamowane jako zaawansowane, ale stosunkowo tanie alternatywy dla znanych rozwiązań (jak np. Spot firmy Boston Dynamics), zdobyły popularność dzięki swojej wszechstronności i dostępności. Ich zastosowanie obejmuje różne branże: od uczelni technicznych po eksperymentalne jednostki wojskowe. Jednak obecność niezadeklarowanego tunelu zdalnego dostępu może radykalnie zmienić sposób, w jaki patrzy się na bezpieczeństwo tych urządzeń.

Eksperci nie przesądzają, czy mieliśmy do czynienia z celowym działaniem – jednak sam fakt, że funkcja nie została ujawniona użytkownikom końcowym, budzi ogromne wątpliwości.

Odłącz robota od sieci

Makris i Finisterr zalecają wszystkim użytkownikom robotów Go1 natychmiastowe odłączenie ich od sieci oraz przeprowadzenie dokładnego audytu logów w poszukiwaniu podejrzanego ruchu sieciowego. Istnieje ryzyko, że dane z kamer, mikrofonów lub modułów lokalizacyjnych mogły być przekazywane do zewnętrznych serwerów bez zgody właścicieli.