Критическая уязвимость в роботах Yarbo: хакеры получили доступ к тысячам газонокосилок по всему миру

Исследователь безопасности Андреас Макрис обнаружил серьезные бреши в программном обеспечении автономных садовых роботов компании Yarbo. Уязвимости позволяют злоумышленникам удаленно управлять устройствами весом около 90 кг, отключать системы безопасности и получать доступ к конфиденциальным данным владельцев, находясь в любой точке мира.

Полный контроль и игнорирование систем безопасности

В ходе технической демонстрации специалист смог перехватить управление роботом, находясь на расстоянии более 9600 км от него. Газонокосилки Yarbo стоимостью 5000 долларов оказались беззащитны перед внешним вмешательством. В обзоре отмечается, что хакер способен не только изменять маршрут устройства, но и программно разблокировать его даже после нажатия физической кнопки экстренной остановки на корпусе.

Проблема заключается в архитектуре системы: каждый робот Yarbo представляет собой компьютер под управлением Linux с предустановленным бэкдором (скрытым входом для разработчиков). Пароль суперпользователя (root) идентичен для всех проданных устройств. Даже если владелец самостоятельно сменит пароль, система принудительно восстанавливает заводские настройки при каждом обновлении прошивки, снова открывая доступ для взлома.

Масштаб угрозы и утечка данных

Исследователь идентифицировал более 11 000 уязвимых устройств по всему миру, включая около 5400 единиц в США и Европе. Злоумышленники могут получить доступ к широкому спектру конфиденциальной информации:

• точные GPS-координаты частных домовладений;
• адреса электронной почты клиентов;
• пароли от домашних сетей Wi-Fi;
• видеотрансляция с камер робота в реальном времени.

Особую обеспокоенность вызывает тот факт, что несколько роботов были обнаружены в радиусе 3 км от стратегически важных объектов, включая атомные электростанции. Это создает риски не только для частной жизни, но и для национальной безопасности, так как устройства могут использоваться для шпионажа за передвижениями персонала и охраны.

Реакция производителя

Компания Yarbo, базирующаяся в китайском Шэньчжэне (юридически работающая под именем Hanyang Tech), долгое время позиционировала возможность удаленного доступа как полезную функцию для дистанционной диагностики неисправностей. Эксперты подчеркивают, что производитель фактически создал инструмент для слежки, который невозможно отключить стандартными средствами.

После публикации данных об уязвимостях представители Yarbo заявили о намерении внедрить систему подтверждения сеансов через мобильное приложение и усилить логирование доступа. Однако в официальном сообщении компания подчеркнула, что ей «неизвестно о случаях несанкционированного контроля устройств третьими лицами», несмотря на наглядную демонстрацию взлома независимыми специалистами.

Специалисты по сетевой архитектуре рекомендуют владельцам подобных гаджетов относиться к ним как к потенциально враждебным устройствам и изолировать их в отдельных гостевых подсетях, чтобы минимизировать риск компрометации основной домашней сети.

Твитнуть