Одна из главных проблем устройств для смарт-дома — устаревшие протоколы
Компания Avast совместно со Стэнфордским университетом провела широкомасштабное исследование безопасности устройств Интернета вещей (IoT) для современного «умного» дома.
Сообщается, что в настоящее время приблизительно 40 % домохозяйств по всему миру имеют как минимум одно устройство IoT. Самый высокий показатель зафиксирован в Северной Америке — приблизительно 66 %.
С целью анализа безопасности инфраструктуры IoT для «умного» жилища были отсканированы 83 миллиона устройств в 16 миллионах домов по всему миру. Оказалось, что одна из главных проблем такого оборудования — устаревшие протоколы. Так, соответствующая проблема затрагивает примерно 7 % от общего количества IoT-устройств, что делает их особенно уязвимыми.
Около 15 % домашних роутеров, которые выполняют функции шлюза в домашнюю сеть, тоже используют устаревшие протоколы — и это представляет угрозу. Когда роутеры имеют слабые учётные данные, они могут открыть для атаки другие устройства и, возможно, целые дома.
Исследование также показало, что сейчас в мире существует более 14 000 производителей «умных» устройств. Однако основную массу такого оборудования — 94 % — поставляют всего 100 производителей, то есть менее 1 % от общего количества.
Avast обнаружила серьезные уязвимости в GPS-трекерах
Компания Avast обнаружила серьезные уязвимости в GPS трекере T8 mini от компании Shenzhen i365 Tech. Исследователи нашли уязвимости и в других моделях этого производителя: всего 30 трекеров имеют проблемы с безопасностью, в том числе трекеры для обеспечения безопасности детей, пожилых людей, домашних животных и имущества.
Вместо этого устройства позволяют третьим лицам получить все данные из облака, включая точные GPS-координаты, в режиме реального времени. Кроме того, злоумышленники могут подделать местоположение или получить доступ к микрофону для прослушивания.
По подсчету исследователей Avast Threat Labs, в мире используется около 600 000 незащищенных трекеров. При этом специалисты подчеркивают, что проблемы безопасности IoT-устройств выходят далеко за пределы продукции одного поставщика.
Мартин Хрон, специалист по безопасности компании Avast, руководивший этим исследованием, советует при выборе GPS-трекера рассматривать продукты от бренда, который более внимательно относится к безопасности своих устройств. Важно, чтобы решения по безопасности были уже встроены в продукт, особенно это касается сложных паролей и надежного шифрования данных.
Для устройств такого типа существует общее правило: обязательно изменить стандартные пароли по умолчанию на более сложные. Но в случае устройств от этого производителя даже такие меры безопасности не помешают злоумышленнику перехватить зашифрованный трафик.
«Мы всегда внимательно относимся к раскрытию уязвимостей. Сначала мы оповещаем производителя о найденных проблемах, но в этом случае мы не получили ответа на наши письма по истечении стандартного срока. Поэтому сейчас мы информируем потребителей о проблемах с устройствами этой компании и настоятельно рекомендуем прекратить их использование», — отметил Мартин Хрон.
Специалисты Avast Threat Labs начали с анализа процесса подключения T8 Mini, следуя инструкциям по загрузке сопутствующего мобильного приложения.
Веб-сайт обслуживался по протоколу HTTP, а не по более безопасному HTTPS. Пользователи могут войти в свою учетную запись со своим личным присвоенным идентификационным номером и общим паролем по умолчанию «123456» — информация также передается по небезопасному протоколу HTTP.
Идентификационный номер получен из Международного идентификатора мобильного оборудования (IMEI) устройства, поэтому исследователям было легко предсказать и перечислить возможные идентификационные номера других трекеров этого производителя. В сочетании с общим паролем практически любое устройство, следующее этой последовательности номеров IMEI, может быть взломано без особых усилий.
Исследователи обнаружили, что все запросы, исходящие от веб-приложения трекера, передаются в незашифрованном виде. Еще более важно то, что злоумышленники могут заставить устройство выполнять команды, которые изначально не предполагались, например: позвонить по номеру телефона, чтобы прослушать микрофон GPS-трекера; отправить SMS-сообщение, чтобы определить номера телефона устройства и затем использовать SMS в качестве вектора атаки; с помощью SMS-сообщений перенаправлять вызовы с устройства на альтернативный сервер — чтобы получить полный контроль над устройством или подделывать информацию, отправляемую в облако; предоставить URL-адрес трекера, чтобы удаленно установить новую прошивку на устройство, которая полностью заменит функциональность устройства или внедрить бэкдор.
Неудивительно, что сопутствующее мобильное приложение AIBEILE (как в Google Play, так и в App Store для iOS) также взаимодействует с облаком через нестандартный порт HTTP, TCP: 8018, отправляя незашифрованный простой текст на конечное устройство. После анализа самого устройства для анализа его взаимодействия с облаком Avast Threat Labs подтвердила, что данные также передаются в незашифрованном виде из сети GSM на сервер без какой-либо авторизации.
Помимо указанного устройства, специалисты Avast выявили 29 других моделей GPS-трекеров, содержащих в себе уязвимости — большинство из них сделаны тем же поставщиком. Также были найдены 50 различных приложений, которые используют мобильную платформу с той же уязвимостью.
По оценкам исследователей, в настоящее время существует более 600 000 устройств с паролями по умолчанию «123456» и более 500 000 загрузок мобильных приложений. Неоднократные уведомления изготовителю устройства об обнаруженных недостатках не получили ответа.
Лина Элиас, руководитель отдела поставок продуктов для Avast, призывает общественность быть крайне осторожными при заказе дешевых или малоизвестных интеллектуальных устройств для дома: «Как родители, мы стремимся использовать технологии, которые обещают помочь обеспечить безопасность наших детей, но мы должны разбираться в продуктах, которые мы покупаем. Остерегайтесь любых производителей, которые не соответствуют минимальным стандартам безопасности или не имеют сторонних сертификатов или одобрений независимых комиссий. Покупайте продукты только тех брендов, которым вы доверяете. Сохраняйте ваши данные в безопасности — душевное спокойствие стоит дополнительных расходов».
Эксперимент Avast показал высокий интерес злоумышленников к IoT-устройствам
Интернет вещей (Internet of Things, IoT) продолжает оставаться в центре внимания киберпреступников, проявляющих всё больший интерес к уязвимым устройствам. Об этом свидетельствует проведённый компанией Avast Software эксперимент.
Исследователи Avast Software развернули более 500 серверов-ловушек (Honeypots), выдающих себя за IoT-устройства, такие как смарт-ТВ, веб-камеры и роутеры, чтобы продемонстрировать большое количество потенциальных атак, с которыми сталкиваются устройства «умного» дома.
Honeypots-ловушки были расположены в России, Мексике, Франции, Германии, Южной Корее, Австралии, Великобритании, Австралии, Японии, Испании, Ирландии, Сингапуре, США, Индии и были активны в течение двух часов. За это время они были просканированы потенциальными злоумышленниками 561 тысячу раз, а пять устройств, расположенных в России, были сканированы 5370 раз.
Чаще всего сканировались три порта: 8088/TCP, который обычно встречается в стриминговых устройствах и умных колонках, а также 22/TCP и 23/TCP, которые используются в роутерах для работы служб Telnet и SSH. Согласно исследованию Avast, стриминговые устройства входят в топ-5 самых уязвимых в доме и две трети роутеров в России имеют слабые учётные данные или уязвимости программного обеспечения.
«Большинство людей не придают большого значения уязвимостям домашних устройств — умных колонок, телевизоров или лампочек, — так как считают, что не могут стать целью киберпреступников. Мы уже видели сотни тысяч подключённых устройств, используемых как часть ботнета для DDoS-атак на популярные сайты и роутеры или для криптомайнинга, — комментирует Михал Салат (Michal Salat), директор департамента анализа угроз Avast Software. — Для многих, вероятно, не важно, используются ли их устройства для атак на других людей, однако они должны знать, что также могут стать целью хакеров. Злоумышленнику требуется всего одно взломанное устройство, чтобы взять под контроль всю домашнюю сеть. Собрав информацию о доме, злоумышленник может подвергнуть опасности как конфиденциальность данных владельцев, так и их физическую безопасность. Входной дверью для хакера может стать уязвимая кофеварка, чтобы затем шпионить за домочадцами с помощью умной колонки и камеры безопасности. Кроме того, подключённые устройства могут содержать GPS-данные, так что злоумышленник получит информацию о точном местонахождении устройства».
Проведённый Avast Software эксперимент показал, что источниками атак преимущественно были США, Нидерланды и Япония. При этом для маскировки злоумышленниками использовались такие технологии и методы, как виртуальные частные сети (VPN), сеть TOR или прокси-соединения через уже заражённые устройства.
Avast Software: «Мы не передаём личные данные пользователей третьим лицам»
Компания Avast Software выступила с официальным опровержением информации, касающейся сбора и обработки пользовательских данных. Ранее разработчика антивирусного ПО уличили в слежке и торговле сведениями о пользователях и их активности в Сети. «Главный приоритет Avast — безопасность и конфиденциальность наших пользователей, поэтому мы всегда используем комплексные методы защиты данных. Все недавние сообщения, в которых шла речь о том, что Avast продает личные данные третьим лицам, не соответствуют действительности, — говорится в заявлении Avast Software. — Для того чтобы наши расширения браузера могли эффективно обнаруживать и блокировать угрозы, нам необходимо иметь возможность собирать данные URL. Так работают наши и другие антивирусные решения. Для этого нам не нужны никакие личные данные. Для защиты конфиденциальности наших пользователей, данные, которые мы собираем, лишены всей личной информации (PII), и хранятся в полностью неопознаваемом формате».
В сообщении Avast Software подчёркивается, что собранные данные передаются в собственную маркетинговую аналитическую компанию Jumpshot, которая получает только обезличенные агрегированные статистические данные. «Этот процесс всегда был прозрачным с момента его запуска», — утверждает разработчик защитного ПО. «Мы всегда прислушиваемся к опасениям, внедряем новые решения по мере необходимости и вносим изменения в наши расширения в соответствии с новой политикой конфиденциальности Mozilla. Мы собираем только те данные, которые необходимы для предоставления наших услуг. Avast соблюдает регламент GDPR — лучшего отраслевого стандарта. Все правила описаны в нашей политике конфиденциальности. У Avast также есть портал конфиденциальности, где наши клиенты могут авторизоваться и проверить, какие именно данные о них хранятся», — говорится в тексте заявления компании. Ранее, напомним, в СМИ со ссылкой на слова генерального директора Avast Software Ондрея Влчека (Ondrej Vlcek) появилась информация о продаже личных данных пользователей как минимум с 2013 года. Сбор информации происходил не через сам антивирус, а при помощи его расширения для браузеров. Согласно словам Влчека, компания зарабатывает на продаже данных около 5 % от общей выручки. За период первого полугодия Avast заработала 430 млн долларов, следовательно доходы от продажи данных составили более 20 млн долларов.
Avast решила больше не торговать пользовательскими данными и закрывает Jumpshot
Компания Avast, разрабатывающая программные решения для обеспечения информационной безопасности, объявила о ликвидации собственного дочернего предприятия Jumpshot, занимавшегося продажей пользовательских данных третьим лицам.
Напомним, в этом месяце в сети Интернет появились сообщения о том, что Avast осуществляет сбор пользовательских данных, которые затем передаются дочерней компании Jumpshot, продающей их третьим лицам. Отмечалось, что ранее Avast использовала для этого браузерные расширения, а позднее сбор данных осуществлялся посредством собственного антивируса. Стоит отметить, что собираемые Avast данные не имеют привязки к конкретным людям, IP-адресам или электронным почтовым ящикам, поэтому фактически могут считаться обезличенными. Несмотря на это, данные сопровождаются особыми идентификаторами, которые сохраняют актуальность до тех пор, пока пользователь не удалит антивирус со своего компьютера. «Главная задача Avast – обеспечить безопасность своих пользователей в сети и предоставить контроль над конфиденциальностью. Любые действия, которые ставят под угрозу доверие пользователей, являются неприемлемыми для Avast. Приватность наших пользователей является для нас важнейшим приоритетом, поэтому мы решили действовать оперативно. Мы решили закрыть Jumpshot после того, как стало очевидно, что некоторые пользователи подвергают сомнению соответствие предоставления данных Jumpshot с нашей миссией и принципами, которые являются для нас основополагающими», — сказал генеральный директор Avast Ондрей Влчек (Ondrej Vlcek). Для получения дополнительной информации клиентам Jumpshot рекомендуется связаться с руководством компании. В дальнейшем Jumpshot будет своевременно уведомлять своих клиентов о прекращении предоставления услуг, связанных с передачей данных.
После обнаружения серьёзной уязвимости Avast отключила движок JavaScript в своём антивирусе
Специалисты Avast, работающей в сфере информационной безопасности, были вынуждены отключить один из основных компонентов своего антивирусного решения после того, как в нём была выявлена уязвимость, подвергающая опасности всех клиентов компании.
Уязвимость была обнаружена в движке JavaScript, который представляет собой внутренний компонент антивируса Avast и используется для анализа кода JavaScript на предмет присутствия вредоносных элементов. Анализ осуществляется до того, как код выполняется в браузере или потоковом клиенте.
«Несмотря на то, что JavaScript-движок имеет высокие привилегии и обрабатывает входящие данные, он не защищён песочницей. Любые уязвимости в этом процессе являются критическими и легко доступны для находящихся удалённо злоумышленников», — заявил исследователь Тэвис Орманди (Tavis Ormandy), работающий в сфере информационной безопасности.
В отчёте отмечается, что эксплуатировать найденную уязвимость достаточно просто. Для этого нужно отправить пользователю вредоносный файл JavaScript или WSH. Кроме того, можно каким-то иным способом заставить жертву открыть файл с вредоносным JavaScript-кодом. Исследователь говорит о том, что, как только антивирус Avast загрузит и запустит JavaScript-код в своём движке, вредоносные операции могут выполняться на компьютере жертвы с повышенными привилегиями. Помимо прочего, рассматриваемая уязвимость может использоваться злоумышленниками для загрузки вредоносного программного обеспечения на устройства клиентов Avast.
Поиск
