«Я могу создать серьёзные проблемы с дорожным движением по всему миру», — сказал он.
![](https://habrastorage.org/getpro/habr/post_images/0eb/607/70a/0eb60770ab394b2563f2b29dca3ac490.jpg)
Хакер взломал тысячи учётных записей, принадлежащих пользователям двух приложений для слежения по GPS, что дало ему возможность отслеживать местонахождение десятков тысяч машин и даже глушить моторы некоторых из них прямо на ходу.
Хакер по кличке L&M рассказал изданию Motherboard, что взломал более 7000 учётных записей iTrack и более 20 000 записей ProTrack – приложений, которые компании используют для отслеживания и управления парками автомобилей с помощью GPS. Хакер смог отслеживать автомобили в нескольких странах мира, включая Южную Африку, Марокко, Индию и Филиппины. У некоторых автомобилей ПО позволяет удалённо глушить моторы, при этом машина должна стоять или двигаться не быстрее 20 км/ч, в зависимости от производителя определённых GPS-устройств для отслеживания.
Проведя реверс-инжиниринг приложений для Android ProTrack и iTrack, L&M, по его словам, понял, что всем клиентам при регистрации выдают одинаковые пароли по умолчанию, 123456.
И тогда хакер сумел методом простого перебора найти «миллионы имён пользователей» при помощи API приложений. Затем он написал скрипт, который пытается входить в учётные записи, используя найденные имена пользователей и пароли по умолчанию.
Это позволило ему автоматически взломать тысячи учётных записей, использовавших пароль по умолчанию, и извлечь из них данные.
Согласно выборке пользовательских данных, которой L&M поделился с изданием Motherboard, хакер действительно собрал кладезь информации о клиентах ProTrack и iTrack, включая: название и модель GPS-маячка, уникальные ID (известные, как IMEI), имена пользователей, их настоящие имена, номера телефонов, емейлы и домашние адреса. L&M сказал, что не смог извлечь всю эту информацию для каждого пользователя; у некоторых информация была получена лишь частично.
Редакция смогла подтвердить реальность взлома, поговорив с четырьмя пользователями из выборки L&M. Опрошенные подтвердили достоверность предоставленной хакером информации.
«Я нацеливался на компанию, а не на клиентов. Клиенты подвергаются риску из-за действий компании, — сказал редакции L&M в чате. – Им надо зарабатывать, и они не хотят обезопасить своих клиентов».
![](https://habrastorage.org/getpro/habr/post_images/7ab/b13/83c/7abb1383c13df259a4c946ae347429f7.png)
Снимок экрана с использованием взломанной учётной записи одного из пользователей
Также L&M заявил, что он может сделать гораздо больше, чем просто отслеживать машины пользователей. «Я могу создать серьёзные проблемы с дорожным движением по всему миру, — сказал он. – Я полностью контролирую сотни тысяч машин, и одним прикосновением могу остановить их двигатели».
Тем не менее, хакер сказал, что ни разу не глушил ни одного двигателя, поскольку это было бы слишком опасно. И хотя хакер не стал доказывать свою возможность выключения двигателя, представитель компании Concox, производящей одно из устройств, использовавшееся некоторыми пользователями ProTrack GPS и iTrack, подтвердил редакции, что клиенты действительно могут удалённо глушить моторы, если машина едет медленнее 20 км/ч.
У приложения есть возможность «остановить двигатель», если верить снимку экрана, предоставленному хакером.
![](https://habrastorage.org/getpro/habr/post_images/665/e21/1fb/665e211fbed99c87c2a968c451db1c9d.png)
Рахим Лукман, владелец южно-африканской компании Probotik Systems, использующей ProTrack, по телефону рассказал редакции, что ProTrack можно использовать для остановки двигателей, если техник включит эту функцию при установке GPS-маячка. «И это делает ситуацию ещё опаснее, — сказал Лукман по поводу утечки данных. – Он в самом деле может устроить неразбериху у наших клиентов и пользователей».
ProTrack поддерживает компания iTryBrand Technology из Шэньчжэня (Китай). iTrack поддерживает компания SEEWORLD из Гуанчжоу (Китай). Обе компании продают устройства для отслеживания и услуги облачных сервисов, как частным лицам, так и компаниям, распространяющим ПО и устройства. L&M заявил, что взломал учётные записи и некоторых дистрибьюторов, что позволило ему отслеживать устройства и контролировать учётные записи их пользователей.
На странице приложения в Google Play iTrack рекламирует бесплатную демонстрационную версию учётной записи с именем пользователя Demo и паролем 123456. ProTrack предоставляет пользователям бесплатную демонстрацию на своём сайте. На этой неделе, когда редакция проверила демку, сайт выдал предупреждение о необходимости смены пароля, поскольку «пароль по умолчанию слишком простой». Неделю назад этого сообщения ещё не было. В документации API ProTrack также указывается пароль по умолчанию 123456.
Судя по интерфейсу обоих приложений, они используют один и тот же базовый код.
L&M сказал, что ProTrack на этой неделе обратилась к клиентам через приложение и по почте, попросив поменять пароли, однако пока не заставляет делать это. В ProTrack отрицают утечку данных, но подтверждают, что предлагали пользователям менять пароли.
«Наша система очень хорошо работает, и изменение пароля – нормальный способ поддерживать безопасность учётной записи, — сказал представитель компании. – Кроме того, зачем вы связываетесь с нашими клиентами и докучаете им? Почему хакер связался с вами?»
Из iTrack не ответили на запрос комментариев.
L&M сказал, что связывался с компаниями, рассчитывая на вознаграждение. На снимке экрана, где был виден ответ из ProTrack, представитель компании просил хакера назначить им «низкую цену».
«Если мы заплатим, вы передадите нам ваш инструмент и не будете больше взламывать нашу учётную запись? Как мы можем быть уверены в этом? Извините, что столько вопросов, но мы впервые столкнулись с этим кошмаром».
Хакер отказался от дополнительных комментариев по поводу общения с компанией. Но сообщил, что получил, что хотел. «Моя атака предупредила их, и это я считаю успехом. Заставить их побеспокоиться по поводу безопасности, — сказал L&M. – Теперь они знают, что их пользователи находятся в зоне риска, и концентрируются на том, чтобы немного повысить безопасность своего сервиса».
Комментарии (5)
Tachyon
21.05.2019 14:08Теперь они знают, что их пользователи находятся в зоне риска, и концентрируются на том, чтобы немного повысить безопасность своего сервиса
Просьба поменять пароль это разве забота о безопасности? Это так просто отписка. Нет эта просьба конечно нужна и важна, но КРОМЕ этого надо делать очень многое.
SynmanProff
Интересно, через модуль GSM-сигналки можно ли подключиться в CAN-шину и делать вообще ВСЕ что угодно? Вообще есть ли вероятность такой уязвимости?
d_ilyich
GM's OnStar Service Explained
Если можно замедлить, заглушить, разблокировать, почему бы не предположить наличие возможности заблокировать, завести и разогнать? Но это, конечно, исключительно домыслы с оттенком конспирологии.
alex-khv
В пандоре на некоторых авто используются две CAN шины.
Но чтобы можно было провести переполнение буфера через gsm модуль, не очень верится.
fotofan
Не сможете ничего, что не заложено производителем. ГУР, педаль газа и глушение двигателя в CAN не заложены как команды управления. Глушение двигателя возможно, «если техник подключил такую возможность», т.е. просто поставил реле