Хакер дистанционно захватил робота-газонокосилку и сымитировал наезд на живого человека

«Белый хакер» Андреас Макрис обнаружил серьёзный бэкдор в софте садовых роботов компании Yarbo, которые могут работать как газонокосилки, снегоуборщики, воздуходувки, триммеры и кромкорезы. Проблема была в том, что если получить доступ к одному роботу, то можно добраться до управления всеми остальными.

В ходе демонстрации он показал карту с более чем 11000 устройств по всему миру, после чего Макрис подключился к одному из роботов в штате Нью-Йорк, смог управлять его камерой и движением. Кроме этого робот может передавать точные GPS-координаты, изображение с камер, адреса электронной почты владельцев и даже пароли от Wi-Fi.

Журналист The Verge Шон Холлистер проверил эти данные на практике: по координатам он нашёл реальные дома владельцев Yarbo, а один из них подтвердил, что показанные исследователем пароли от Wi-Fi действительно принадлежат ему. Во время ещё одной демонстрации Макрис, находясь в Германии, устроил наезд газонокосильщика на Холлистера.

Ситуация интересна ещё и тем, что найденный хакером бэкдор мог быть специально оставлен разработчиками. Его суть состояла в том, что у роботов Yarbo был один и тот же root-пароль, но даже его изменение не защитит владельцев, потому что после каждого обновления прошивки пароль сбрасывается к изначальному значению, выставленному разработчиками. Компания объясняла это заботой о пользователях: якобы это нужно техподдержке для удаленной диагностики. Но после демонстрации «наезда» на журналиста Yarbo пообещала исправить уязвимость.

Это не первый случай дистанционного захвата роботов. В феврале текущего года инженер Сэмми Аздуфаль, решив ради шутки подключить робопылесос DJI Romo к геймпаду PS5, случайно захватил контроль над 7000 устройствами в 24 странах. Благодаря слабому API и помощи ИИ-ассистента, он получил доступ к видеопотокам, микрофонам и картам квартир тысяч незнакомых людей. Компания также пообещала устранить проблему.