위치 모니터링을위한 약 600,000 GPS 추적기 어린이, 노인 및 애완 동물은 사용자를 여는 취약점을 포함합니다 보안 회사 Avast의 연구원들은 수많은 소름 끼치는 공격에 발견했다.
$ 25에서 $ 50까지의 장치는 목걸이 또는 주머니 또는 자동차 대시 칸에 보관하십시오. 많은 사람들이 포함 카메라 및 마이크. 그들은 아마존과 다른 시장에서 판매됩니다 온라인 상점을 저렴한 방법으로 이용하여 어린이, 노인 및 애완 동물 안전. 스파이 장치를 부착하는 윤리를 무시 우리가 사랑하는 사람들에게 회의론의 또 다른 이유가 있습니다. T8 미니 GPS 트래커 로케이터의 취약점 및 거의 30 동일한 제조업체의 유사한 모델 브랜드, Shenzhen i365 기술, 사용자가 도청, 스파이 및 스푸핑에 취약하게 함 사용자의 실제 위치를 위조하는 공격
Avast Threat Labs의 연구원들은 ID 번호가 할당 된 것을 발견했습니다 각 장치는 국제 모바일 장비를 기반으로 신원 또는 IMEI. 더 나쁜 것은 제조 과정에서 장치가 정확히 동일한 기본 암호 123456을 할당했습니다. 연구원들이 600,000 개가 넘는 장치를 적극적으로 찾을 수 있도록 허용 그 암호로 와일드하게 사용됩니다. 마치 나쁘지 않은 것처럼 장치는 다음을 사용하여 모든 데이터를 일반 텍스트로 전송했습니다. 리버스 엔지니어링하기 쉬운 명령.
결과 : 스마트 폰과 동일한 네트워크에있는 사람들 또는 웹 기반 앱은 민감한 트래픽을 모니터링하거나 수정할 수 있습니다. 하나 편리한 명령은 전화로 문자 메시지를 보냅니다. 공격자의 선택. 공격자는이 도구를 사용하여 전화를 얻을 수 있습니다 특정 계정에 연결된 번호입니다. 거기에서 공격자는 동일한 네트워크는 추적기가 있던 GPS 좌표를 변경할 수 있습니다 기기가 여러 공격자의 전화를보고하도록하거나 마이크 범위 내에서 사운드를 선택하고 브로드 캐스트합니다. 다른 명령으로 장치를 원래 공장으로 되돌릴 수 있음 기본 비밀번호를 포함한 설정 또는 설치 공격자가 선택한 펌웨어.
다른 명령으로 공격자는 IP 주소를 변경할 수 있습니다 추적기가 통신하는 서버. Avast 연구원 약점을 악용하여 중간자 공격을 설정했습니다. 장치를 영구적으로 제어 할 수있었습니다. 그 시점부터 공격자는 더 이상 동일한 네트워크에 연결될 필요가 없습니다. 스마트 폰 또는 웹앱으로 그들은보고 수정할 수있을 것입니다 모든 일반 텍스트가 프록시를 통과합니다.
크게 하다 / Avast를 허용 한 중간자 공격 다이어그램 researchers to divert GPS tracking data through a rogue서버.
연구원들은 또한 모든 데이터가 클라우드 서버에 대한 GSM 네트워크는 암호화되지 않았을뿐만 아니라 또한 인증되지 않은. 장치를 묶는 유일한 것은 IMEI. 연구원들은 공급 업체에게 6 월 24 일의 취약점에 대한 T8 Mini GPS 추적기 응답을 받았습니다. Ars가 회사 담당자에게 연락을 시도 실패했다.
목요일 아침 라이브로 예정된 블로그 게시물에서 Avast 연구원들은 그들이 기본값을 사용하여 발견 한 600,000 개의 인터넷 연결 추적기 password. 그들은:
T58 A9 T8S T28 TQ A16 A6 3G A18 A21 T28A A12 A19 A20 A20S S1 P1 FA23 A107 RomboGPS PM01 A21P PM02 A16X PM03 WA3 P1-S S6 S9
GPS 트래커는 최소한의 경우 사전에 완전히 동의 한 경우 추적되는 사람들. 그러나 Avast 연구는 어떻게 이 장치의 기능은 두 가지 방법을 모두 사용하고 사용자를 만들 수 있습니다 보호를 전혀 사용하지 않는 것보다 더 취약합니다. 사람들 취약한 장치 중 하나를 구입해야합니다. 한번.
