«Лаборатория Касперского» обнаружила серьёзные уязвимости в детском роботе

Исследователи «Лаборатории Касперского» обнаружили в детском интерактивном роботе на базе ОС Android уязвимости, которые потенциально могли позволить злоумышленникам использовать камеру в игрушке для общения с ребёнком без ведома родителей. Эксперты компании уведомили производителя, и к настоящему моменту он устранил описанные проблемы безопасности. Основные результаты исследования «Лаборатория Касперского» представила на Mobile World Congress 2024. Ни модель, ни даже бренд игрушки не называется. Робот, которого проанализировали специалисты «Лаборатории Касперского» оснащён большим цветным экраном, микрофоном, видеокамерой и может передвигаться. Функциональность робота включает игровые и обучающие приложения для детей, голосовой ассистент, возможность выхода в интернет и связи с родителями через приложения на их смартфонах.

Информация о ребёнке указанная при регистрации передавалась по протоколу HTTP в открытом виде. Таким образом, теоретически злоумышленники могли бы перехватить её, используя программное обеспечение для анализа сетевого трафика. Также эксперты изучили некоторые сетевые запросы и увидели, что один из них возвращает токен доступа к API на основе следующих аутентификационных данных: имя пользователя, пароль и ключ. Причём происходило это даже в том случае, если запрос содержал заведомо неправильный пароль из произвольного набора символов.

Следующий сетевой запрос возвращал параметры конфигурации для конкретного робота по уникальному идентификатору, состоящему из девяти символов. Но, поскольку этот набор символов был коротким и предсказуемым, то потенциально злоумышленники могли быстро подобрать его и в результате получить информацию о владельце игрушки, в том числе IP-адрес, страну проживания, имя, пол и возраст ребёнка, а также, с помощью ещё одного запроса, адрес электронной почты, номер телефона взрослого и код для привязки его мобильного устройства к роботу.

При установке сеанса видеосвязи отсутствовали должные проверки безопасности. Злоумышленники потенциально могли бы использовать камеру и микрофон робота для звонков детям без авторизации с родительского аккаунта. В таком случае, если бы ребёнок принял звонок, недоброжелатель мог бы начать общаться с ним без ведома взрослых.

Также, ипользуя метод брутфорса (полного перебора паролей) для восстановления шестизначного одноразового пароля и не имея ограничений на количество неудачных попыток, злоумышленник потенциально мог удалённо привязать робота к своей учётной записи вместо родительского аккаунта. В таком случае, чтобы восстановить связь легитимным путём, пришлось бы обратиться в техподдержку производителя.

После того как «Лаборатория Касперского» сообщила о проблемах безопасности производителю, он исправил их. Но это лишь одно устройство. А сколько ещё электроники выпускается с «дырявыми» прошивками. Особенно опасны на наш взгляд устройства от нонеймовых брендов. Подробнее о проведённом исследовании можно узнать по этой ссылке — securelist.ru/smart-robot-security-research/109035/.