Ponad 600000 popularnych chińskich trackerów GPS działa z hasłem 123456

Co najmniej 600 000 urządzeń GPS wyprodukowanych przez chińską firmę używa tego samego domyślnego hasła "123456", ujawnili badacze bezpieczeństwa z czeskiej firmy Avast zajmującej się cyberbezpieczeństwem. Mówią, że hakerzy mogą wykorzystywać tak żenująco niski poziom zabezpieczeń i domyślne hasło w celu przejęcia kont użytkowników, skąd mogą szpiegować rozmowy w pobliżu trackera GPS, fałszować rzeczywistą lokalizację trackera lub uzyskać numer telefonu karty SIM dołączonej do trackera do śledzenia za pośrednictwem kanałów GSM. Badacze Avast oświadczyli, że znaleźli te problemy w T8 Mini, urządzeniu śledzącym GPS produkowanym przez Shenzhen i365-Tech, chińskiego producenta urządzeń IoT. Jednak w miarę postępu badań okazało się, że problem dotyczy również ponad 30 innych modeli urządzeń śledzących GPS - wszystkie zostały wyprodukowane przez tego samego dostawcę, a niektóre są nawet sprzedawane jako produkty z etykietą innych firm.

Jeśli korzystacie z chińskich trackerów GPS, koniecznie zmieńcie domyślne hasło do urządzenia.

Wszystkie modele mają jeszcze jeden element wspólny - tę samą infrastrukturę zaplecza, która składała się z serwera w chmurze, do którego zgłaszają się moduły śledzące GPS, panelu internetowego, do którego klienci logowali się za pośrednictwem przeglądarek, aby sprawdzić lokalizację modułu śledzenia, oraz aplikacji mobilnej, która również łączyła się z tym samym serwerem w chmurze.  Niestety cała ta infrastruktura jest pełna dziur. Podczas gdy Avast wyszczególnił kilka problemów w swoim raporcie, największym problemem jest fakt, że wszystkie konta użytkowników (z aplikacji mobilnej lub panelu internetowego) opierają się na identyfikatorze użytkownika i haśle, które łatwo można odgadnąć. Identyfikatory użytkowników są oparte na kodzie IMEI (International Mobile Equipment Identity) urządzenia śledzącego GPS i są sekwencyjne, a hasło jest takie samo dla wszystkich urządzeń - 123456. Oznacza to, że haker może przeprowadzać automatyczne ataki na serwer w chmurze Shenzhen i365-Tech, przechodząc kolejno przez wszystkie identyfikatory użytkowników, używając tego samego hasła 123456 i przejmując konta użytkowników. Chociaż użytkownicy mogą zmienić ustawienia domyślne po pierwszym zalogowaniu się na swoje konto, Avast powiedział, że podczas skanowania ponad czterech milionów identyfikatorów użytkowników stwierdzono, że ponad 600 000 kont nadal używało domyślnego hasła. 

Wielu klientów kupuje urządzenia do śledzenia zwierząt domowych, starszych członków rodziny, dzieci, samochodów lub innych cennych przedmiotów. Osoba atakująca, która uzyska dostęp do jednego z tych kont klientów, może śledzić ofiary, ale może również sfałszować lokalizację urządzenia śledzącego, aby porwać lub ukraść cenny produkt bez powiadomienia właściciela, dopóki nie będzie za późno. Ponadto urządzenia te są wyposażone w mikrofony i karty SIM, dzięki czemu dzieci i osoby starsze mogą nawiązywać połączenia SOS z władzami lub członkami rodziny. Avast twierdzi, że hakerzy kont mogą nadużywać tej funkcji, aby wykonać połączenie telefoniczne z własnym numerem, odebrać połączenie, a następnie po cichu szpiegować właściciela urządzenia śledzącego GPS. Ponieważ badania Avast dotyczyły tylko czterech milionów identyfikatorów użytkowników, faktyczna liczba urządzeń śledzących GPS z domyślnymi hasłami jest prawdopodobnie znacznie wyższa. Pełen raport, włącznie z listą niebezpiecznych urządzeń, znajdziecie pod tym adresem: https://decoded.avast.io/martinhron/the-secret-life-of-gps-trackers/ .