Os olhos das crianças olham diretamente para as lentes da câmera. O garoto de camisa listrada olha e depois vai embora. Um menino com roupas tristes, uma estrela dourada no peito. Um refeitório que me lembrou minhas filhas, fujo de cama molhada, cabrinhas e bichos de pelúcia, e Hello Kitty na parede.
Um pensamento se repete em sua mente; Não é com isso. Nenhum estranho deveria.
Mas os malfeitores poderiam facilmente espionar todos esses sites – e milhões de outros – porque muitos dos filhos de Meari, conhecedores de tecnologia, estavam perseguindo absurdamente monitores Wi-Fi e câmeras de segurança. Se você tivesse acesso a uma dessas câmeras, teria acesso a todas elas.
Meari é uma marca branco-chinesa cujas câmeras são vendidas sob uma centena de nomes diferentes. Existem muitos vendedores genéricos da Amazon, como Arenti, Anran, Boifun e ieGeek. Mas os registros financeiros mostram que um dos maiores clientes da empresa é a Wyze; seu maior cliente é Zhiyun; e havia muitas câmeras hackeáveis da Intelbras. Pelo menos uma das câmeras petcube de Meari parece ter sido produzida também.
Sammy Azdoufal – o homem francês que criou uma série de aspiradores robôs DJI Romo com controle remoto sem realmente tentar – diz Beira Da mesma forma, Meari encontrou 1,1 milhão de câmeras acessíveis. Só de olhar para o aplicativo Android, Azdoufal diz que conseguiu extrair uma única chave que lhe deu acesso a dispositivos em 118 países.
Cada um desses milhões de dispositivos transmitia suas informações para qualquer pessoa que soubesse ouvir. Ou alguém sabia adivinhar as senhas da empresa, muitas das quais ainda estavam definidas como padrão. Uma dessas senhas era a palavra “admin”. Outra palavra era pública.
Quando Azdoufal carrega um fluxo de dados MQTT conectado a um mapa do mundo codificado por vibração, ele diz que pode ver “tudo”. Ele podia ver dentro das casas das pessoas. Ele podia ver o endereço de e-mail e lugares difíceis.
Ele também conseguiu ver dezenas de milhares de fotos dessas câmeras, armazenadas nos servidores chineses do Alibaba em endereços públicos da Internet sem qualquer proteção, incluindo as fotos que descrevo no início desta história.
“Posso recuperar a imagem sem senhas, sem cracking, sem hacking”, disse Azdoufal. “Basta clicar no URL e esta imagem aparece.”
Azdoufal diz que também foi encontrado nu interno servidor com senhas e credenciais de Meari expostas à vista, bem como uma lista de todos os 678 funcionários com seus e-mails e números de telefone. “Eu falo Bumbo, tenho um número, mando WeChat”, ri Azdoufal.
Ele diz que foi quando Meari finalmente começou a responder seus e-mails. Embora existam relatos de vulnerabilidades na plataforma CloudEdge da Meari data de anos atráse um relatório de vulnerabilidade do final de 2015 Ele previu os danos que o plano MQTT da Meari poderia causar, mas a empresa diz que não o levou a sério até que seus funcionários se mostrassem vulneráveis.
Em março, Meari cortou o acesso de Azdoufal – e fechou a abertura das primárias. Quando comprei três câmeras de revendedores Meari na esperança de uma demonstração ao vivo do hack, já era tarde demais (felizmente!) para vê-lo funcionando por mim mesmo. Mas mesmo que não houvesse nenhum GIF meu correndo pelo cortador de grama robô, não pude acreditar na palavra de Azdoufal de que o dano potencial era real.
“Sob certas condições técnicas, intercepte os atacantes” Todas as mensagens são transmitidas através da plataforma EMQX IoT sem autorização do usuário”, admitiu um porta-voz não identificado da equipe de segurança da Meari Technology Beiraquando recebemos do e-mail. (A empresa não consulta um orador nomeado sobre o nosso histórico político, mas publicamos a declaração porque é uma admissão óbvia de vulnerabilidade nuclear.)
A empresa também afirma ter descoberto um “risco potencial” Execução Remota de Código (RCE) A senha é fraca devido a problemas na plataforma de negócios agendados”.
Para resolver os problemas, um porta-voz não identificado da Meari diz que a EMQX desligou toda a sua plataforma, alterou as senhas dos usuários e disse aos seus clientes para atualizarem seus dispositivos para o firmware mais recente (ele afirma que apenas as versões abaixo de 3.0.0 são afetadas).
Mas Meari recusou-se a nos contar;
- Quantas câmeras ou registros estavam realmente vulneráveis;
- Essas marcas alertaram seus clientes o suficiente;
- Essas exposições já foram abusadas;
- O que proíbe – se é que existe alguma coisa – um funcionário da Meari ou qualquer um de seus fornecedores de espionar pessoas do outro lado do mundo.
Azdoufal diz que a forma como Meari projetou originalmente seu sistema era que qualquer outra marca pudesse acessar a câmera, já que todas compartilhavam os mesmos servidores e senhas.
Ao fechar a plataforma EMQX ele fez eles bloqueiam o acesso remoto, confirma Azdoufal, não está claro o que aconteceu com esses milhões agora. Meari não nos disse quantos desses dispositivos podem realmente receber a nova atualização de firmware, ou se os parceiros de Meari acabaram de passar o aviso para as pessoas que possuem essas câmeras em suas casas.
Tentamos entrar em contato com alguns dos parceiros de câmera de Meari para ver se eles também estavam cientes do evento. Wyze e Petcam não responderam. NEC D. EMQX
Intelbras conta Beirapelo porta-voz Kenny Gava, que a empresa só trabalhou com Meari em três portas de vídeo Wi-Fi e que “menos de 50” unidades tiveram “falha potencial”. Esse pequeno número não corresponde à história de Azdoufal. Ele foi visto por uma das Intelbras mais marcas populares em seu conjunto de dados, com grande atenção das câmeras do Brasil. Gava não informou se Meari foi contatado sobre os ferimentos ou se a Intelbras repassou o alerta aos seus clientes.
Quando contactámos o Comité de Legislação do Congresso sobre o Partido Comunista Chinês, o gabinete do congressista Ro Khanna (D-CA) respondeu aos relatórios: “Vou analisar isto como membro do Comité de Legislação da China”, obrigou Khanna.
A boa notícia é que Azdoufal diz que a maioria das coisas que descobriu parecem estar corrigidas e, em 7 de maio, ele recebeu uma recompensa por bug de € 24.000 por sua ajuda. Mas o uso parece ter deixado um gosto ruim na boca.
Em março, depois de ter partilhado pela primeira vez a sua investigação com Meari, a empresa enviou-lhe o que ele interpretou como ameaças veladas. A empresa disse-lhe que ele “poderia proteger plenamente os nossos interesses”, que a empresa sabia onde ele morava e que os servidores internos de Meari eram “incompetentes”.
Ele também não está feliz que Meari inicialmente tenha tentado retroceder isso é segurança boletins para o dia 2 de março. Dessa forma, as vulnerabilidades de Meari teriam sido vistas antes mesmo que ele as tocasse. Ainda hoje, a informação foi dada no dia 12 de março, antes da publicação do mês de Meari, em abril. Meari também observa que ainda está cumprindo suas obrigações do GDPR de notificar os cidadãos da UE sobre a violação.
Gostaria de dizer que descrevi todas as coisas que Azdoufal encontrou sobre os exercícios de Meari, mas você pode encontrar mais. seu artigo completo sobre segurança. Mesmo em equipe por Tod Beardsley da runZero arquivo para cinco CVE oficial vulnerabilidade entrega Neste momento.
Ao pesquisar esta história, encontrei um grande número de babás eletrônicas na Amazon que anunciavam “Sem Wi-Fi”. Isso não significa automaticamente que eles estejam seguros – mas pelo menos uma transmissão curta de FHSS ou DECT deve detectá-los do outro lado da banda.
