Хакеры захватили контроль над роботами-пылесосами в нескольких городах США, выкрикивая расистские оскорбления

В течение нескольких дней были взломаны роботы-пылесосы в нескольких городах США, причем злоумышленник физически контролировал их и ругался не по-деццки через встроенные динамики.

Все "пострадавшие" роботы были китайского производства Ecovacs Deebot X2s - именно той модели, которую ABC (где и напечатана новость) ранее удалось взломать в качестве доказательства наличия критической уязвимости в системе безопасности.

Все началось прозаически. Юрист из Миннесоты Дэниел Свенсон смотрел телевизор. Вдруг его робот начал сбоить. "Это звучало как прерывистый радиосигнал или что-то в этом роде", - сказал он ABC. "Были слышны обрывки речи или какие-то голоса".

Дэниэл был продвинутым юзером пылесосов. Каково же было его удивление, когда с помощью приложения Ecovacs он увидел, что незнакомец получает доступ к прямой трансляции с камеры его пылесоса, да еще и к функции дистанционного управления его домашним электронным питомцем.

Посчитав это каким-то сбоем, мистер Свенсон сбросил пароль, перезагрузил робота и снова сел на диван рядом со своей женой и 13-летним сыном.

Вот так Дэниел Свенсон стоял в комнате, где был взломан его робот-пылесос.

Но, только Дэниэл уселся поудобнее, почти сразу же его пылесос снова пришел в движение. На этот раз не было никакой неясности в том, что доносилось из динамика: чей-то голос громко и отчетливо выкрикивал расистские ругательства прямо перед сыном мистера Свенсона. "Черт возьми", - кричал голос снова и снова. (На самом деле, голос кричал "занимающиеся сексом афроамериканцы").

"У меня сложилось впечатление, что [говорил] ребенок, может быть, подросток", - рассказал позднее Свенсон. "Возможно, они просто перепрыгивали с устройства на устройство, мешая семьям".

На этот раз Дэниэл отключил пылесос.

Но могло быть и хуже.

Дэниэл держал свой робот-пылесос на том же этаже, что и главная ванная комната семьи. "Наши младшие дети принимают там душ", - сказал он. "Я просто подумал, что это может застать моих детей или даже меня, знаете ли, неодетым".

Несмотря на оскорбления, мистер Свенсон был рад, что хакеры так громко заявили о своем присутствии. По его словам, было бы намного хуже, если бы они решили незаметно понаблюдать за его семьей в своем доме.

Робот-пылесос Ecovacs X2 оснащен функцией дистанционного управления, которая позволяет получить доступ к камере устройства. Хакеры могли наблюдать за происходящим через камеру его пылесоса и слушать через микрофон, а Дэниэл и не подозревал об этом. "Это был шок", - сказал он. "А потом это было похоже почти на страх, на отвращение".

В то время как его сын не совсем понимал всю "жутковатость" этой встречи, мистер Свенсон не хотел рисковать. Он отнес устройство в гараж и больше никогда его не включал.

Роботы были взломаны в нескольких городах.

Несколько человек, проживающих в США, с разницей в несколько дней сообщали о подобных хакерских атаках. 24 мая, в тот же день, когда было взломано устройство мистера Свенсона, робот Deebot X2 вышел из строя и преследовал собаку своего владельца по всему дому в Лос-Анджелесе. Роботом управляли издалека, из динамиков доносились оскорбительные комментарии.

Пять дней спустя было взломано еще одно устройство.

Неясно, сколько всего устройств компании было взломано.

Шестью месяцами ранее исследователи в области безопасности попытались уведомить компанию Ecovacs о существенных недостатках в системе безопасности ее роботов-пылесосов и приложения, которое ими управляет.

Наиболее серьезной проблемой был дефект в разъеме Bluetooth, который обеспечивал полный доступ к Ecovacs X2 с расстояния более 100 метров. Учитывая распределенный характер атак, маловероятно, что в данном случае была использована эта уязвимость.

Также было известно, что система PIN—кодов, защищающая видеопередачу робота, и функция дистанционного управления были неисправны, а звуковой сигнал, который должен воспроизводиться при наблюдении за камерой, можно было отключить издалека.

Эти проблемы с безопасностью могут объяснить, как злоумышленники получили контроль над несколькими роботами в разных местах и как они могли незаметно наблюдать за своими жертвами, как только те проникли внутрь.

Ecovacs подтверждает кибератаку на устройство

Через несколько дней после инцидента с его роботом-пылесосом Ecovacs Дэниел Свенсон подал жалобу в компанию.

После недолгих переговоров со службой поддержки ему позвонил старший сотрудник Ecovacs из США.

- Он, должно быть, три или четыре раза повторял, что у меня должна быть видеозапись того, что произошло. Каждый раз я говорил ему: "Да, это было бы здорово, но меня больше волнует тот факт, что взломанный робот находился посреди моей гостиной, наблюдая за нами и, возможно, записывая нас"."

По словам мистера Свенсона, сотрудник, казалось, не верил в то, что говорил, несмотря на то, что несколько других владельцев сообщали о подобных нападениях примерно в то же время.

"Было ли это попыткой отговорить меня от рассмотрения моих жалоб?" спрашивает он.

После этого звонка ему сообщили, что было проведено "расследование в целях безопасности".

"Ваша учетная запись Ecovacs и пароль к ней были получены неуполномоченным лицом", - сообщил ему представитель компании по электронной почте. Они также сообщили, что техническая команда компании определила IP-адрес злоумышленника и отключила его, чтобы предотвратить дальнейший доступ.

В более позднем электронном письме они сообщили ему, что существует "высокая вероятность того, что ваша учетная запись Ecovacs была взломана в результате кибератаки с "утечкой учетных данных"". Это когда кто-то повторно использует одно и то же имя пользователя и пароль на нескольких веб-сайтах, а комбинация украдена в ходе отдельной кибератаки.

Компания сообщила ABC, что "не нашла доказательств" того, что учетные записи были взломаны посредством "какого-либо нарушения систем Ecovacs".

Возможно, виной всему известная брешь в системе безопасности

Даже если бы мистер Свенсон использовал те же имя пользователя и пароль на других сайтах, и если бы эти учетные данные просочились в Интернет, этого все равно было бы недостаточно для доступа к видеотрансляции или удаленного управления роботом. Предполагается, что эти функции защищены четырехзначным PIN-кодом.

Однако, пара исследователей в области кибербезопасности, Дэннис Гиз и Брэлинг Людтке, показала, что это можно обойти, еще на хакерской конференции в декабре 2023 года.

ПИН-код был проверен только приложением, а не сервером или роботом. Это означает, что любой, кто обладает техническими знаниями, может полностью обойти проверку. Они предупредили Ecovacs о проблеме, прежде чем обнародовать эксплойт.

Представитель Ecovacs заявил, что в настоящее время этот недостаток устранен, однако г-н Гизе сказал ABC, что исправлений компании было недостаточно для устранения дыры в системе безопасности.

Представитель также сообщил, что компания "отправила электронное письмо с инструкцией клиентам сменить свои пароли после инцидента".

Еcovacs сообщила, что в ноябре выпустит обновление системы безопасности для владельцев своих устройств серии X2.

Мистер Свенсон сказал, что ни в одном из его сообщений с Ecovacs ему не сообщали о проблеме с PIN-кодом. "Я спросил их, известно ли им о том, что подобное случилось с дркгими пользователями", - сказал он. - Они просто ведут себя, как будто они в шоке от того, что произошло".