您的位置首页  用机体验

缔奇 360 扫地机器人的神秘漏洞:黑客可秘密监视屋主

  缔奇 360 扫地机器人的神秘漏洞:黑客可秘密监视屋主。夜深人静。

缔奇 360 扫地机器人的神秘漏洞:黑客可秘密监视屋主

  在角落沉睡的扫地机器人忽然被某种神秘力量唤醒,开启了自己的夜视技能。它循着移动轨迹慢慢靠近主卧,一点一点接近正中间隆起一团的床。

  近一点,再近一点。

  一个头,一双脚,一个人。手机那头控制机器人移动并实时监控主卧的女主人松了一口气了,警报解除,老公出轨风险排除。

  以上情景纯属虚构,但扫地机器人化身窥屏者却不是梦。

  最近,Positive Technologies 的安全研究员公布了缔奇 360 智能扫地机器人的两大漏洞,通过它们黑客能拿下超级用户权限在设备上运行恶意代码,完全控制设备。

  “与其他物联网设备一样,这些扫地机器人受到攻击后会‘认贼作父’,并成为黑客搭建的僵尸网络中的一个个节点,帮他们发动DDos 攻击。”Positive Technologies 网络安全部门主管Leigh-Anne Galloway 解释道。

  不过,玩这种手法的黑客只能算菜鸟,进阶版是由于缔奇扫地机器人能连接Wi-Fi 且搭载了夜视摄像头,可使用智能手机控制其运行轨迹,因此黑客可以通过它秘密监视屋主。

  在家私密的一举一动都会被有心人偷窥,甚至传播到网上,想想就可怕。

  这两个神秘漏洞是 CVE-2018-10987 和 CVE-2018-10988。其中,第一个漏洞可以被远程利用,而第二个则需要黑客对设备进行物理访问。

  虽说想利用第一个Bug 黑客首先得经过身份验证,但Positive Technologies 表示,所有缔奇360 设备的管理员账户都使用了888888 这样简单的默认密码,而知道要修改默认密码的用户只是极少数,因此黑客简直是如入无人之境。

  经过身份验证的黑客能发送一个专门打造的 UDP 数据包,从而在扫地机器人上执行指令。这个Bug出现在 REQUEST_SET_WIFIPASSWD 功能上UDP指153)。黑客UDP数据包会运行 /mnt/skyeye/mode_switch.sh %s,而他们对 %s 的变量拥有裁量权。

  第二个漏洞虽然需要黑客对设备进行物理访问,但只要将一张 microSD 卡插入扫地机器人并将设备固件替换成恶意版本就能利用。

  扫地机器人的固件中自带固件升级进程,它会在 microSD 卡的根目录中寻找升级包。一旦找到“升级包”,它就会执行代码,没有数字签名也照做不误。

  另外,Positive Technologies 警告称这两个漏洞可能还会影响缔奇公司旗下使用了这套脆弱代码的其他设备,也就是说,缔奇的数字录像机、监控摄像头和智能门铃恐怕也难逃黑客黑手。

  所以,这两个漏洞已经被修复了吗?

  并没有,据说发现漏洞后,Positive Technologies 就通知了缔奇公司,还给了它们不少时间来修补漏洞。未收到回应的 Positive Technologies 随后向有关部门正式提交了这两个漏洞,今年5月它们还在 PHDays 安全论坛上谈到了这两个漏洞发现。

  不过到现在为止,Positive Technologies 都不知道这两个漏洞是否已经被修复了。

  当然,截止文章发表前,缔奇的发言人都没有回应关于漏洞修补的提问。

  事实上这并非安全研究人员首次在扫地机器人固件中发现Bug 了,黑客的目的无一例外都是控制设备并监视屋主。此前,Check Point 的研究人员还在LG 智能家居设备中发现过类似的Bug。去年,Check Point 甚至通过一个视频展示了如何控制扫地机器人并对屋主进行监控。

  可惜的是, 厂商面对漏洞的反应总是“很慢”。

智能吸尘器:http://www.infocement.com/tiyan/3660.html

  • 标签:360扫地机器人
  • 编辑:岩岩
相关文章
  • 360扫地机器人用户使用评价
    360扫地机器人用户使用评价

    一个屌丝科技宅对于扫地机器人的选购经历。在14年的时候,扫地机器人刚兴起来,对于这种能解放劳动力的小家电我是超爱的。当时市面上杂牌(你们不要砍我)不多,大品牌价格高,所以我观察了一段时间。对于科技宅来说方法总比困难多(屌丝你好),我找到当时科沃斯的官翻店下单买了个官翻货…[阅读详细]

    2018-06-30 评论:0
  • 360扫地机器人科技智能抢滩618!
    360扫地机器人科技智能抢滩618!

      如火如荼,一年一度的618已然开战!不知从凌晨到现在,手速大神们都用怎样的低价买到了哪些好货!是服装?数码?图书音像?还是新型智能产品?而说到智能产品,这个618怎能不趁着低价抢款360扫地机器人,干净家居不用手,再也不担心抢不到购物狂欢中的秒杀爆款…[阅读详细]

    2018-06-19 评论:0
  • 连老妈都夸我太机智 360扫地机器人新品太省心了
    连老妈都夸我太机智 360扫地机器人新品太省心了

    连老妈都夸我太机智 360扫地机器人新品太省心了。作为资深宅女+懒癌晚期病患,我对居家电器是颇有发言权的。这么说吧,像我这种能坐着不站着,能躺着不坐着的仙(lan)女(chong),做家务?不存在的。为了达成我“为革命保存体力”的目标,市面上但凡能节省体力的电器,我都会第一时间弄到手。家里光扫地机器人就有三台,当然了,他们都因为操劳过度,倒在了工作岗位上…[阅读详细]

    2018-06-17 评论:0
  • 电子展CES Asia 2018在上海完美落下了帷幕 360扫地机器人实力吸睛
    电子展CES Asia 2018在上海完美落下了帷幕 360扫地机器人实力吸睛

    6月15日,为期三天的2018年亚洲消费电子展CES Asia 2018在上海完美落下了帷幕。本届CES Asia展中,国内外多家科技厂商均参与其中,为前来参观的人们献上了一场科技盛宴。在众多厂商当中,360公司的身影吸引了超多科技爱好者的驻足关注。展台上,360智能硬件家族全系产品全部亮相,更有产品功能亮点现场展示区域,吸引了不少观众的目光…[阅读详细]

    2018-06-15 评论:0
  • 360扫地机器人使用体验 360扫地机器人清扫能力究竟如何呢?
    360扫地机器人使用体验 360扫地机器人清扫能力究竟如何呢?

      在去年的12月18日360智能家居发布会上,360公司正式发布旗下智能业务线最新产品——360扫地机器人,而这款扫地机器人也是360在智能家居领域的一款重磅产品。经过了前期的设计与测试后,市场上好评如潮。凭借着环境感知系统、Slam 算法绘制地图的技术以及令人赞叹的无人驾驶技术,让这台扫地机器人更加“智能”,这也是更多家庭选择购买这款机器人的主要原因…[阅读详细]

    2018-06-04 评论:0