黑客入侵GPS跟蹤程序后發現可以遠程關閉汽車引擎
作者:星期一, 五月 6, 20190

黑客表示:我絕對可以在世界范圍內制造大型交通事件。

一名黑客入侵了兩個GPS跟蹤程序關聯的數千個賬戶,使他能夠監控數萬輛汽車所在的位置,甚至能夠在其中一些汽車行駛時關掉其引擎。

這位名為L&M的黑客入侵了7000多個iTrack賬戶和20000多個ProTrack賬戶。企業通過這兩個應用程序提供GPS服務,監控和管理車輛。黑客能夠通過應用程序追蹤世界上少數幾個國家的車輛,包括南非、摩洛哥、印度和菲律賓。根據某些GPS跟蹤設備制造商的說法,通過該軟件能夠遠程關閉一部分處在停車狀態或以每小時12英里或更慢速度行駛的汽車的發動機。

通過逆向工程ProTrack和iTrack的Android應用程序,L&M發現所有用戶在注冊時都會得到一個默認密碼——123456。

那時,這名黑客通過應用程序的API暴力獲取了 “數百萬用戶名”。然后,他編寫了一個腳本,試圖使用這些用戶名和默認密碼登錄。最終實現自動入侵數千個使用默認密碼的賬戶,并從中獲取數據。

根據L&M共享的用戶數據樣本顯示,黑客竊取了ProTrack和iTrack用戶的寶貴信息,包括:他們使用的GPS跟蹤設備的名稱和型號、設備的唯一ID號 (技術上稱為IMEI號);用戶名、真實姓名、電話號碼、電子郵件地址和現實地址 (根據L&M的說法,他無法獲取所有用戶的信息;對于某些用戶,他只能獲得到上面提到的一部分信息)。

通過與四位用戶(這四位用戶在L&M的樣本中)進行交談后發發現,確認了用戶的數據被泄露過,即黑客提供的數據是真實的。

L&M在一次在線聊天中表示:

我的目標是企業,而不是用戶。因為這家公司,用戶正在面臨風險。他們需要賺錢,但不想保護自己的客戶。

黑客提供的被入侵賬戶的截圖

L&M還聲稱,他能做到的遠不止監控用戶車輛這么簡單。

我絕對可以在世界范圍內制造大型交通事件。我已經對成千上萬輛汽車實現了全權控制,只要一個手指,我就能讓這些汽車的引擎停止工作。

盡管如此,該黑客表示他從未破壞過任何汽車的引擎,因為那樣太危險了。雖然黑客沒有證明他能夠關掉汽車發動機,但Concox的代表,一些ProTrack GPS和iTrack用戶使用的一個GPS跟蹤設備的硬件制造商,表示黑客仍然可以遠程關閉引擎,如果車輛行駛速度在每小時20公里以下(約12英里每小時)。

黑客提供的截圖顯示,這些應用程序擁有“停止引擎”的功能。

Rahim Luqmaan,Probotik Systems的所有人(南非一家使用ProTrack的公司)表示通過ProTrack關閉引擎是有可能的,如果技術人員在安裝跟蹤設備時啟用了這項功能。

這就更加危險了。他實際上可以隨意操縱……我們的用戶。

ProTrack由總部位于中國深圳的比圖科技公司制造。iTrack由總部位于中國廣州的斯沃德科技公司生產。iTryBrand和SEEWORLD都對經銷商銷售硬件跟蹤設備和云平臺,以便他們能夠直接管理這些設備。而這些經銷商則對用戶銷售硬件和服務。L&M聲稱他也入侵了一些經銷商的賬戶,這樣他就可以監控車輛并控制客戶的賬戶。

在Google Play的應用程序頁面上,iTrack掛出了一個免費試用帳戶為自己打廣告,用戶名為 “demo”,密碼為 “123456”。ProTrack在其網站上為潛在客戶提供免費試用版本。隨后,當測試人員嘗試試用免費版本時,網站彈出一個修改密碼的提示,因為“默認密碼太簡單了”。上周,當測試人員進行第一次試用時,這個消息沒有出現。此外,ProTrack的API在其文檔中還提到了默認密碼 “123456”。

從兩個應用程序的用戶界面來看,ProTrack和iTrack共享相同的底層代碼。

L&M表示,ProTrack已經通過應用程序和電子郵件聯系客戶,要求他們在本周更改他們的密碼,但目前還沒有強制用戶重置密碼。

ProTrack通過電子郵件否認了這一數據泄露事件,但確認了他們正在聯系用戶修改密碼。

我們的系統工作地很好,修改密碼是保護賬戶安全的正常手段,就像其他系統做的一樣,這有什么問題嗎? 而且你為什么要聯系我們的客戶,讓他們收到這種無聊的郵件。為什么黑客要聯系你?

而iTrack沒有立即回復關于通過電子郵件發送的評論請求的問題。

L&M表示他聯系了這些公司進行邀功。在ProTrack回復他的截圖中,一名公司代表要求黑客提供一個“低價格”報價。

如果我們付錢給你,你會把工具交給我們,不再黑我們的賬戶嗎? 我們怎么才能確定呢?很抱歉問了這么多問題,這是我們第一次發生這種事故。

這名黑客拒絕透露他與該公司的更多聯系。但他說他已經得到了他想要的。

他們在我進行攻擊之后發出了警告,這對我來說是成功的。迫使他們注意安全。他們現在知道他們的客戶面臨風險,所以他們把重點放在如何確保他們的服務安全上。

相關閱讀

車載網絡安全分析

如何在50秒內盜走一輛特斯拉

物聯網噩夢:GPS跟蹤漏洞致數百萬IoT產品陷入風險

 


相關文章

寫一條評論

 

 

0條評論