Odkurzacze robotyczne Shark połączone z chmurą są obecnie narażone na ataki z powodu niezałatanej aplikacji AWS ( Amazon Luka w polityce IoT (Internetu rzeczy) dotycząca usług internetowych, która może sprawić, że jedno zainfekowane urządzenie stanie się kluczem do zdalnego sterowania wieloma innymi urządzeniami w tym samym regionie, z dostępem do kamer, map i haseł Wi-Fi.
Badacz posługujący się pseudonimem tokay0 rozmontował odkurzacz automatyczny Shark RV2320EDUS i odkrył, że wbudowany w niego certyfikat AWS IoT umożliwia mu publikowanie i subskrybowanie tematów dotyczących dowolnego urządzenia marki Shark w tym samym regionie AWS, a nie tylko samego siebie.
Region AWS to odrębna lokalizacja geograficzna, w której Amazon klastruje swoje centra danych w chmurze. Każdy region AWS jest całkowicie odizolowany od pozostałych. Obecnie na świecie istnieje 39 regionów AWS.
Zgodnie z założeniami platformy AWS udostępnia „cienie” dla poszczególnych urządzeń, w których przechowywane są informacje o stanie, takie jak konfiguracja i polecenia. Jednak zbyt liberalna polityka Shark dotycząca protokołu MQTT (Message Queuing Telemetry Transport) pozwala skradzionemu certyfikatowi nawiązywać łączność również z „cieniami” innych odkurzaczy.
Mówiąc najprościej, oznacza to, że każdy odkurzacz powinien mieć swoją prywatną „skrzynkę odbiorczą” w chmurze. Ponieważ zasady działania chmury firmy Shark są zbyt ogólne, certyfikat skradziony z jednego odkurzacza może również wysyłać polecenia do skrzynek odbiorczych innych odkurzaczy.
Chociaż certyfikat został pobrany z urządzenia Vacuum przy użyciu fizycznego dostępu i konsoli debugowania – co oznacza, że początkowe przejęcie kontroli wymaga bezpośredniego dostępu – dalsze nadużycia mają charakter zdalny i odbywają się w chmurze.
Dla właścicieli nie chodzi tu tylko o to, że ktoś włącza odkurzacz o 3:00 nad ranem. Według badacza osoba atakująca posiadająca taki dostęp do chmury mogłaby:
- Oglądaj obraz z kamery odkurzacza, zamieniając go w mobilne urządzenie monitorujące w Twoim domu.
- Wykradnij hasło do sieci Wi-Fi, które – jak twierdzi badacz – jest przechowywane w postaci zwykłego tekstu, co potencjalnie może zapewnić mu dostęp do Twojej sieci lokalnej.
- Skopiuj mapę domu utworzoną przez odkurzacz, przedstawiającą rozkład pomieszczeń oraz częstotliwość korzystania z poszczególnych obszarów.
Widzieliśmy już, jak „inteligentne” odkurzacze mogą stanowić zagrożenie dla prywatności i bezpieczeństwa, gdy producenci oszczędzają na zabezpieczeniach. Labs Malwarebytes opisały, jak roboty odkurzające Ecovacs mogą zostać przejęte, aby odtwarzać obsceniczne wiadomości i szpiegować użytkowników za pomocą głośników i czujników, pokazując, jak szybko pomocne urządzenie domowe może stać się niechcianym gościem w domu.
Korzystając z certyfikatu z własnego środowiska testowego, badacz był w stanie monitorować ruch z urządzeń Shark w tym samym regionie AWS i ustalić, które z nich obsługują zdalne wykonywanie poleceń. W ciągu 24 godzin w jednym regionie AWS badacz zaobserwował 1 517 605 unikalnych numerów seryjnych urządzeń Shark i stwierdził, że 673 816 urządzeń (około 44%) zareagowało w sposób wskazujący na obsługę funkcji zdalnego wykonywania poleceń.
Badacz napisał:
„Trudno jest oszacować dokładną liczbę urządzeń, których to dotyczy, a jeszcze trudniej ustalić, które z nich posiadają nieprawidłowo skonfigurowane certyfikaty umożliwiające publikowanie treści na różnych urządzeniach”.
Doszedł jednak do następującego wniosku:
„Ta luka w zabezpieczeniach dotyczy bardzo dużej liczby urządzeń SharkNinja z obsługą IoT”.
Jak zachować bezpieczeństwo
Głównym problemem w tej sprawie jest polityka po stronie chmury, która nie jest wystarczająco rygorystyczna. To sprawia, że jest to problem po stronie serwera, a nie błąd oprogramowania układowego, który można samodzielnie naprawić.
Według badacza firma SharkNinja nie usunęła tej luki w zabezpieczeniach, mimo że została o niej poinformowana ponad sześć miesięcy temu. Dopóki sytuacja się nie zmieni, właściciele powinni:
- Należy wywrzeć presję na firmę Shark, aby rozwiązała ten problem.
- Wyłącz sterowanie zdalne odkurzacza lub odłącz go od sieci Wi-Fi, jeśli nie potrzebujesz jego funkcji inteligentnych.
- Śledź komunikaty firmy Shark dotyczące poprawek, numerów CVE lub wycofania produktów z rynku.
Przeglądaj, jakby nikt nie patrzył.
Malwarebytes Privacy VPN Szyfruje Twoje połączenie i nigdy nie rejestruje Twoich działań, więc kolejna przeczytana historia nie musi być osobista. Wypróbuj za darmo →
