13 февраля 2019
По информации, опубликованной группой Zimperium zLabs, занимающейся вопросами безопасности, электрический самокат Xiaomi M365, используемый во многих странах мира для городского проката, имеет уязвимость, позволяющую хакерам получить полный дистанционный контроль над транспортным средством, в том числе заставить самокат внезапно ускоряться или тормозить. Причиной исследователи называют процесс авторизации, который осуществляется по Bluetooth.
«В ходе нашего исследования мы определили, что пароль не используется должным образом как часть процесса идентификации на скутере и что все команды могут выполняться без пароля. Последний проверяется только на стороне приложения, но сам скутер не отслеживает состояние аутентификации», — говорится в заявлении Zimperium zLabs.
Исследователи утверждают, что им удалось взаимодействовать с противоугонной системой, круиз-контролем и экономным режимом скутера, а также обновлять его прошивку без запроса авторизации. Без дополнительных усилителей сигнала процедура взлома будет работать в радиусе распространения сигнала Bluetooth, то есть до 100 метров.
Zimperium zLabs опубликовала видео, демонстрирующее, как хакер создаёт опасную ситуацию, удалённо отключая скутер на пешеходном переходе посредством встроенной противоугонной функции.
Можно использовать следующие сценарии атаки:
Исследователи предусмотрительно опубликовали исходный код программы, использующей только первый сценарий атаки github.com.
Выявленная уязвимость заставит компании немедленно прекратить использование скутеров Xiaomi M365 в своих арендных службах. Этот вид транспорта и без того вызывал большие дискуссии, получая всё большее распространение в городах. Регуляторы спешат составить правила использования нового вида транспорта. Некоторым нравится перемещаться на скутерах по перегруженным городам. Но пешеходы жалуются, что многочисленные ездоки подвергают их опасности, игнорируют правила дорожного движения, ездят по тротуарам и оставляют скутеры где им захочется.
Примечательно, что это не первый случай в своём роде. Почти идентичная ситуация произошла в 2017 году, когда исследовательская компания IOActive обнаружила, что может получить полный удаленный доступ к гироскейту Segway и отправлять ему команды из приложения Segway через Bluetooth-обновления без необходимости авторизации.
Хочешь узнать больше - читай отзывы
← Вернуться на предыдущую страницу
У Києві водій побив батька депутата Київради, який є інвалідом війни: зловмисника затримали 20 июля 2025
У Києві водій побив батька депутата Київради, який є інвалідом війни: зловмисника затримали. Фото Нападнику загрожує кримінальна відповідальність
Астрономи виявили дивне тіло в Сонячній системі, яке рухається у резонансі з Нептуном 20 июля 2025
Астрономи виявили дивне тіло в Сонячній системі, яке рухається у резонансі з Нептуном
ЗМІ дізналися про зміни у поставці Patriot Україні 20 июля 2025
Спочатку Трамп заявляв, що перші системи уже почали відвантажувати європейським союзникам для передачі Києву, Однак потім з'ясувалося, що він передумав їх давати.