Владелица телеграм-канала «Меня заставили создать канал» Анна рассказала о необычной проблеме с устройствами для умного дома от Xiaomi. Речь идёт об электронной кормушке, которая используется для дозированной выдачи корма и воды кошкам, собакам и другим домашним животным по расписанию.
Анна изучала софт, с которым работает эта кормушка, и обнаружила, что может получить контроль не только за своим устройством, но и теми, что установлены другими людьми по всему миру.
Мда. Вот эти автоматические кормушки продаются по пять тыщ рублей минимум. Добротный девайс, надо сказать. Работает хорошо.
Сейчас я продолжала изучать их API и случайно получила доступ ко всем кормушкам этой модели в мире. У меня на экране бегают логи со всех существующих кормушек, я вижу данные о вайфай-сетях бедных китайцев, которые купили себе эти устройства. Могу парой кликов неожиданно накормить всех котиков и собачек, а могу наоборот лишить их еды, удалив расписания с устройств. Вижу, сколько у кого в миске корма сейчас лежит.
Не представляю сейчас, что с этим делать, это мой самый успешный (и неожиданный) взлом, так что я немного в ступоре. Не знаю даже, есть ли смысл писать что-то китайцам, денег все равно не дадут, если вообще поймут английский язык.
Анна обратилась по электронной к разработчикам без особой надежды на вознаграждение и то, что они её вообще поймут. Тем не менее, они ответили, поблагодарили её и сообщили, что устранят проблему. Программа по выплате вознаграждений за найденные уязвимости, по их словам, находится в разработке, поэтому они отказались платить ей за эту находку.
На кормушку можно удалённо послать запрос с ссылкой на прошивку, контроллер скачает её, установит и перезагрузится. В теории можно заставить кормушки обновиться на прошивку-пустышку, после чего устройство умрёт полностью и единственным способом починки будет полный разбор, подпайка к пинам контроллера и ручная заливка прошивки. Скажите это котикам и собачкам, которые сейчас дома питаются из этой штуки и ждут своих хозяев из двухнедельных отпусков.
В общей сложности Анна насчитала сеть примерно из 11 тысяч автоматических кормушек, но не стала хулиганить — ломать их, лишать питомцев еды и питья или, наоборот, перекармливать. Не исключено, что хакеры, которые наткнулись бы на эту уязвимость раньше неё, могли оказаться гораздо более жестокими и просто из интереса навредили бы тысячам живых существ.
