Telset.id – Lebih dari 30 merek smartwatch GPS anak dan aksesori mobil ditemukan memiliki kerentanan keamanan kritis yang memungkinkan peretas melacak lokasi, menyadap audio, hingga mengambil foto secara diam-diam. Temuan ini dipresentasikan pada konferensi keamanan siber Black Hat oleh dua peneliti, Matt Stykas dan Felipe Solferini.
Dalam demonstrasi yang dilakukan terhadap WIRED, Stykas berhasil meretas smartwatch murah senilai kurang dari USD 30 yang dikenakan seorang reporter. Ia memantau lokasi reporter melalui GPS yang rusak, memanfaatkan identifikasi jaringan Wi-Fi di sekitarnya untuk mengetahui posisi tepat di Brooklyn, New York. Setelah reporter tiba di kantor WIRED di Manhattan, Stykas diam-diam mengambil foto dari kamera jam tangan tersebut saat reporter masuk lift dan duduk di meja kerjanya. Ia bahkan menggunakan mikrofon perangkat untuk mendengarkan percakapan reporter dengan rekannya, tanpa ada tanda-tanda perangkat sedang diawasi.
Kerentanan ini tidak hanya terbatas pada satu merek. Riset yang dilakukan terhadap lebih dari 70 perangkat GPS-enabled mengungkap bahwa puluhan juta perangkat pelacak GPS berasal dari hanya tiga rantai pasokan di Shenzhen, China. Ketiganya memiliki kelemahan keamanan signifikan, mulai dari kurangnya autentikasi hingga kerentanan SQL injection.
Tiga Platform Utama yang Rentan
Para peneliti menemukan bahwa lebih dari 30 perangkat geolokasi menggunakan teknologi dan server backend dari YiQingTeng Electronics, yang juga dikenal dengan merek Wonlex, partner Shenzhen 3G Electronics, atau aplikasi SETracker. Lebih dari 30 merek perangkat pelacak lainnya berjalan pada platform NewGPS2012. Platform besar ketiga, SinoTrack, menjual pelacak mobil dan smartwatch. Ketiga platform ini melayani puluhan merek konsumen yang berbeda.
Kerentanan yang ditemukan sangat beragam. Pada perangkat berbasis SETracker, ditemukan celah autentikasi yang memungkinkan siapa saja mengirim perintah ke perangkat mana pun. Ini bisa digunakan untuk mengendalikan jam tangan anak, mengganti kontak darurat, menyadap pesan teks dan audio, hingga mengambil foto dan video secara diam-diam. Untuk platform SinoTrack, peneliti menemukan akun demo yang bisa digunakan untuk mengirim perintah ke jutaan perangkat, serta kerentanan SQL injection yang membuka akses ke lokasi, kata sandi, dan catatan kendaraan puluhan ribu perangkat.
Sementara itu, platform NewGPS2012 memiliki kerentanan SQL injection serupa dan memungkinkan peneliti menjalankan kode sendiri di server perusahaan. Mereka juga menemukan bukti kompromi sistem sebelumnya, menunjukkan peretas lain mungkin telah memiliki akses ke sistem tersebut dalam periode yang tidak diketahui.
Baca Juga:
Dampak dari kerentanan ini sangat luas. Seperti yang ditulis para peneliti dalam whitepaper yang dibagikan kepada WIRED, orang tua di Swedia yang membeli jam tangan merek “SafeKid” dan orang tua di Spanyol yang membeli “SaveFamily” sama-sama mengirim data lokasi anak mereka ke backend myaqsh.com yang rentan di Alibaba Cloud di China daratan. Model white-label ini berarti satu kerentanan di satu backend memengaruhi puluhan merek konsumen sekaligus, dan konsumen tidak memiliki cara untuk mengetahui backend mana yang digunakan produk mereka.
Peringatan Bertahun-tahun yang Diabaikan
Ini bukan pertama kalinya masalah ini diungkap. Stykas bersama peneliti Michael Gruhn mengungkap koleksi kerentanan luas pada perangkat GPS-enabled pada 2018 yang disebut Trackmageddon. Pen Test Partners dan pemerintah Norwegia juga mengeluarkan peringatan tentang jam tangan anak yang dapat diretas pada 2017 dan 2018. Studi lain oleh Münster University of Applied Sciences pada 2020 menguji enam jam tangan pintar anak dan menemukan kerentanan serius di lima perangkat.
Para peneliti telah memperingatkan perusahaan di balik ketiga platform GPS Shenzhen tentang kerentanan ini selama berbulan-bulan. Perwakilan SETracker awalnya mengklaim masalah telah diselesaikan, tetapi ketika WIRED menunjukkan bahwa peretas masih bisa meretas smartwatch yang berjalan di platform tersebut, mereka meminta bukti eksploitasi. Baru hari ini, beberapa jam sebelum presentasi di Black Hat, teknik peretasan terhadap platform SETracker berhenti berfungsi, meskipun peneliti belum yakin semua celah telah diperbaiki. Sementara itu, Sinotrack dan NewGPS2012 tidak menanggapi permintaan komentar, dan teknik peretasan terhadap sistem mereka masih berfungsi.
“Jutaan anak terekspos dan rentan terhadap eksploitasi. Ini benar-benar bencana. Ini buah jatuh yang sangat mudah dipetik oleh banyak aktor jahat,” ujar Stykas. “Pikiran kriminal Anda adalah satu-satunya batasan dalam mengeksploitasi perangkat-perangkat ini.”
Stykas mengungkapkan kekecewaannya karena banyak perusahaan mengabaikan peringatan tentang bug yang dapat diretas di perangkat mereka. “Saya benar-benar berharap kami bisa menceritakan kisah yang bagus bahwa ada kerentanan dan mereka memperbaikinya. Tetapi dalam banyak kasus, mereka tidak melakukannya,” katanya. “Ini posisi yang sebenarnya tidak saya inginkan.”
Temuan ini menunjukkan bahwa kerentanan keamanan tidak hanya terbatas pada perangkat lunak enterprise, tetapi juga merambah perangkat konsumen murah yang beredar luas. Para peneliti tidak mengungkap detail lengkap kerentanan di tiga platform utama karena belum semuanya diperbaiki meskipun telah dibagikan selama berbulan-bulan.
Kerentanan pada perangkat GPS mobil juga ditemukan. Untuk beberapa aksesori mobil GPS-enabled, peneliti dapat melacak lokasi perangkat atau memalsukan pesan yang berpotensi membuka kunci atau menonaktifkan mobil, meskipun mereka tidak menguji hal ini pada kendaraan sebenarnya. Mereka juga menemukan kerentanan sisi server yang mengekspos informasi konsumen dan memungkinkan eksekusi kode pada server. Kasus ini mengingatkan pada ancaman keamanan OTA pada kendaraan modern yang terus berkembang.
Bagi konsumen, temuan ini menjadi peringatan penting. Keragaman merek yang tampak banyak di pasar sebenarnya hanyalah ilusi karena banyak merek berbagi infrastruktur backend yang sama. Konsumen tidak memiliki cara untuk mengetahui apakah produk yang mereka beli menggunakan backend yang rentan. Para peneliti berharap temuan mereka di Black Hat mendorong perubahan dalam industri ini, meskipun sejarah menunjukkan bahwa peringatan serupa selama bertahun-tahun sering diabaikan oleh para produsen.
Riset ini juga menyoroti pentingnya pengelolaan risiko keamanan secara berkelanjutan. Seperti halnya pengelolaan security debt yang perlu dilakukan secara konsisten, produsen perangkat GPS juga harus bertanggung jawab memperbaiki kerentanan yang ditemukan, bukan mengabaikannya.
Komentar
Belum ada komentar.