Avast обнаружила серьезные уязвимости в GPS-трекерах
Компания Avast обнаружила серьезные уязвимости в GPS трекере T8 mini от компании Shenzhen i365 Tech. Исследователи нашли уязвимости и в других моделях этого производителя: всего 30 трекеров имеют проблемы с безопасностью, в том числе трекеры для обеспечения безопасности детей, пожилых людей, домашних животных и имущества.
Вместо этого устройства позволяют третьим лицам получить все данные из облака, включая точные GPS-координаты, в режиме реального времени. Кроме того, злоумышленники могут подделать местоположение или получить доступ к микрофону для прослушивания.
По подсчету исследователей Avast Threat Labs, в мире используется около 600 000 незащищенных трекеров. При этом специалисты подчеркивают, что проблемы безопасности IoT-устройств выходят далеко за пределы продукции одного поставщика.
Мартин Хрон, специалист по безопасности компании Avast, руководивший этим исследованием, советует при выборе GPS-трекера рассматривать продукты от бренда, который более внимательно относится к безопасности своих устройств. Важно, чтобы решения по безопасности были уже встроены в продукт, особенно это касается сложных паролей и надежного шифрования данных.
Для устройств такого типа существует общее правило: обязательно изменить стандартные пароли по умолчанию на более сложные. Но в случае устройств от этого производителя даже такие меры безопасности не помешают злоумышленнику перехватить зашифрованный трафик.
«Мы всегда внимательно относимся к раскрытию уязвимостей. Сначала мы оповещаем производителя о найденных проблемах, но в этом случае мы не получили ответа на наши письма по истечении стандартного срока. Поэтому сейчас мы информируем потребителей о проблемах с устройствами этой компании и настоятельно рекомендуем прекратить их использование», — отметил Мартин Хрон.
Специалисты Avast Threat Labs начали с анализа процесса подключения T8 Mini, следуя инструкциям по загрузке сопутствующего мобильного приложения.
Веб-сайт обслуживался по протоколу HTTP, а не по более безопасному HTTPS. Пользователи могут войти в свою учетную запись со своим личным присвоенным идентификационным номером и общим паролем по умолчанию «123456» — информация также передается по небезопасному протоколу HTTP.
Идентификационный номер получен из Международного идентификатора мобильного оборудования (IMEI) устройства, поэтому исследователям было легко предсказать и перечислить возможные идентификационные номера других трекеров этого производителя. В сочетании с общим паролем практически любое устройство, следующее этой последовательности номеров IMEI, может быть взломано без особых усилий.
Исследователи обнаружили, что все запросы, исходящие от веб-приложения трекера, передаются в незашифрованном виде. Еще более важно то, что злоумышленники могут заставить устройство выполнять команды, которые изначально не предполагались, например: позвонить по номеру телефона, чтобы прослушать микрофон GPS-трекера; отправить SMS-сообщение, чтобы определить номера телефона устройства и затем использовать SMS в качестве вектора атаки; с помощью SMS-сообщений перенаправлять вызовы с устройства на альтернативный сервер — чтобы получить полный контроль над устройством или подделывать информацию, отправляемую в облако; предоставить URL-адрес трекера, чтобы удаленно установить новую прошивку на устройство, которая полностью заменит функциональность устройства или внедрить бэкдор.
Неудивительно, что сопутствующее мобильное приложение AIBEILE (как в Google Play, так и в App Store для iOS) также взаимодействует с облаком через нестандартный порт HTTP, TCP: 8018, отправляя незашифрованный простой текст на конечное устройство. После анализа самого устройства для анализа его взаимодействия с облаком Avast Threat Labs подтвердила, что данные также передаются в незашифрованном виде из сети GSM на сервер без какой-либо авторизации.
Помимо указанного устройства, специалисты Avast выявили 29 других моделей GPS-трекеров, содержащих в себе уязвимости — большинство из них сделаны тем же поставщиком. Также были найдены 50 различных приложений, которые используют мобильную платформу с той же уязвимостью.
По оценкам исследователей, в настоящее время существует более 600 000 устройств с паролями по умолчанию «123456» и более 500 000 загрузок мобильных приложений. Неоднократные уведомления изготовителю устройства об обнаруженных недостатках не получили ответа.
Лина Элиас, руководитель отдела поставок продуктов для Avast, призывает общественность быть крайне осторожными при заказе дешевых или малоизвестных интеллектуальных устройств для дома: «Как родители, мы стремимся использовать технологии, которые обещают помочь обеспечить безопасность наших детей, но мы должны разбираться в продуктах, которые мы покупаем. Остерегайтесь любых производителей, которые не соответствуют минимальным стандартам безопасности или не имеют сторонних сертификатов или одобрений независимых комиссий. Покупайте продукты только тех брендов, которым вы доверяете. Сохраняйте ваши данные в безопасности — душевное спокойствие стоит дополнительных расходов».
Эксперимент Avast показал высокий интерес злоумышленников к IoT-устройствам
Интернет вещей (Internet of Things, IoT) продолжает оставаться в центре внимания киберпреступников, проявляющих всё больший интерес к уязвимым устройствам. Об этом свидетельствует проведённый компанией Avast Software эксперимент.
Исследователи Avast Software развернули более 500 серверов-ловушек (Honeypots), выдающих себя за IoT-устройства, такие как смарт-ТВ, веб-камеры и роутеры, чтобы продемонстрировать большое количество потенциальных атак, с которыми сталкиваются устройства «умного» дома.
Honeypots-ловушки были расположены в России, Мексике, Франции, Германии, Южной Корее, Австралии, Великобритании, Австралии, Японии, Испании, Ирландии, Сингапуре, США, Индии и были активны в течение двух часов. За это время они были просканированы потенциальными злоумышленниками 561 тысячу раз, а пять устройств, расположенных в России, были сканированы 5370 раз.
Чаще всего сканировались три порта: 8088/TCP, который обычно встречается в стриминговых устройствах и умных колонках, а также 22/TCP и 23/TCP, которые используются в роутерах для работы служб Telnet и SSH. Согласно исследованию Avast, стриминговые устройства входят в топ-5 самых уязвимых в доме и две трети роутеров в России имеют слабые учётные данные или уязвимости программного обеспечения.
«Большинство людей не придают большого значения уязвимостям домашних устройств — умных колонок, телевизоров или лампочек, — так как считают, что не могут стать целью киберпреступников. Мы уже видели сотни тысяч подключённых устройств, используемых как часть ботнета для DDoS-атак на популярные сайты и роутеры или для криптомайнинга, — комментирует Михал Салат (Michal Salat), директор департамента анализа угроз Avast Software. — Для многих, вероятно, не важно, используются ли их устройства для атак на других людей, однако они должны знать, что также могут стать целью хакеров. Злоумышленнику требуется всего одно взломанное устройство, чтобы взять под контроль всю домашнюю сеть. Собрав информацию о доме, злоумышленник может подвергнуть опасности как конфиденциальность данных владельцев, так и их физическую безопасность. Входной дверью для хакера может стать уязвимая кофеварка, чтобы затем шпионить за домочадцами с помощью умной колонки и камеры безопасности. Кроме того, подключённые устройства могут содержать GPS-данные, так что злоумышленник получит информацию о точном местонахождении устройства».
Проведённый Avast Software эксперимент показал, что источниками атак преимущественно были США, Нидерланды и Япония. При этом для маскировки злоумышленниками использовались такие технологии и методы, как виртуальные частные сети (VPN), сеть TOR или прокси-соединения через уже заражённые устройства.
Avast Software: «Мы не передаём личные данные пользователей третьим лицам»
Компания Avast Software выступила с официальным опровержением информации, касающейся сбора и обработки пользовательских данных. Ранее разработчика антивирусного ПО уличили в слежке и торговле сведениями о пользователях и их активности в Сети. «Главный приоритет Avast — безопасность и конфиденциальность наших пользователей, поэтому мы всегда используем комплексные методы защиты данных. Все недавние сообщения, в которых шла речь о том, что Avast продает личные данные третьим лицам, не соответствуют действительности, — говорится в заявлении Avast Software. — Для того чтобы наши расширения браузера могли эффективно обнаруживать и блокировать угрозы, нам необходимо иметь возможность собирать данные URL. Так работают наши и другие антивирусные решения. Для этого нам не нужны никакие личные данные. Для защиты конфиденциальности наших пользователей, данные, которые мы собираем, лишены всей личной информации (PII), и хранятся в полностью неопознаваемом формате».
В сообщении Avast Software подчёркивается, что собранные данные передаются в собственную маркетинговую аналитическую компанию Jumpshot, которая получает только обезличенные агрегированные статистические данные. «Этот процесс всегда был прозрачным с момента его запуска», — утверждает разработчик защитного ПО. «Мы всегда прислушиваемся к опасениям, внедряем новые решения по мере необходимости и вносим изменения в наши расширения в соответствии с новой политикой конфиденциальности Mozilla. Мы собираем только те данные, которые необходимы для предоставления наших услуг. Avast соблюдает регламент GDPR — лучшего отраслевого стандарта. Все правила описаны в нашей политике конфиденциальности. У Avast также есть портал конфиденциальности, где наши клиенты могут авторизоваться и проверить, какие именно данные о них хранятся», — говорится в тексте заявления компании. Ранее, напомним, в СМИ со ссылкой на слова генерального директора Avast Software Ондрея Влчека (Ondrej Vlcek) появилась информация о продаже личных данных пользователей как минимум с 2013 года. Сбор информации происходил не через сам антивирус, а при помощи его расширения для браузеров. Согласно словам Влчека, компания зарабатывает на продаже данных около 5 % от общей выручки. За период первого полугодия Avast заработала 430 млн долларов, следовательно доходы от продажи данных составили более 20 млн долларов.
Поиск
