Malwarebytes: Хакеры могут взломать весь умный дом с помощью робота-пылесоса SharkNinja

В подключенных к Интернету роботах-пылесосах SharkNinja была обнаружена неисправленная уязвимость, которая потенциально может позволить злоумышленникам получить удаленный доступ к другим устройствам компании и использовать их для шпионажа, кражи данных и проникновения в домашнюю сеть. Об этом Malwarebytes сообщил исследователь информационной безопасности под псевдонимом tokay0.

Как отмечается в исследовании, первоначальный доступ к сертификату требует физического доступа к устройству и использования консоли отладки, однако дальнейшая эксплуатация уязвимости осуществляется удаленно через облачную инфраструктуру.

По мнению исследователя, злоумышленник с таким доступом потенциально может использовать камеру робота-пылесоса для наблюдения за пользователями, получить пароль от домашней сети Wi-Fi, который, как утверждается, хранится в открытом виде, а также скопировать карту помещения, что позволит определить планировку дома и частоту использования отдельных комнат.

В ходе исследования tokay0 проанализировал активность устройств Shark в одном регионе AWS, используя собственный сертификат устройства. За 24 часа было обнаружено 1 517 605 уникальных серийных номеров пылесосов, при этом около 673,8 тысяч устройств, или около 44%, ответили таким образом, что это указывало на поддержку удаленного выполнения команд. По оценкам исследователя, точное количество уязвимых устройств определить сложно, но проблема затрагивает «очень большое количество» IoT-устройств SharkNinja.

Как отмечается в исследовании, проблема находится на стороне облачной инфраструктуры, а не в прошивке устройства, поэтому пользователи не могут ее устранить самостоятельно. По словам исследователя, SharkNinja была уведомлена об уязвимости более полугода назад, но на момент публикации она осталась непропатченной.

До выхода исправления владельцам рекомендуется отключить функции дистанционного управления или полностью отключить робот-пылесос от сети Wi-Fi.