Fabrikant IoT-seksspeeltjes lekte gevoelige klantgegevens
Een Duitse fabrikant van Internet of Thing-seksspeeltjes had gevoelige klantgegevens niet goed beveiligd, waardoor aanvallers toegang hadden kunnen krijgen tot onversleutelde wachtwoorden, e-mailadressen, adresgegevens, chatgesprekken, vriendenlijsten, naaktfoto's en de seksuele geaardheid van klanten.
Ook was het mogelijk voor aanvallers om willekeurige IoT-seksspeeltjes op afstand, zowel via bluetooth als het internet en zonder toestemming van de eigenaar, te besturen zo meldt securitybedrijf SEC Consult. Het product in kwestie is de Vibratissimo "Panty Buster" van het bedrijf Amor Gummiwaren. Het seksspeeltje is op afstand via een smartphone-app te bedienen.
De app fungeert niet alleen als afstandsbediening, het biedt ook meerdere features om te communiceren en andere gebruikers te vinden. Zo is er een vriendenlijst, videochatfunctie, forum en de mogelijkheid om met andere gebruikers beelden uit te wisselen. Onderzoekers ontdekten acht kwetsbaarheden in de apparatuur en infrastructuur van het IoT-seksspeeltje.
In de webroot van vibratissimo.com werd een .DS_STORE bestand gevonden met de gebruikersnaam en het wachtwoord voor de database. Een aanvaller had zo gevoelige informatie kunnen achterhalen, waaronder afbeeldingen en adresgegevens Verder was de phpMyAdmin-installatie voor iedereen op internet toegankelijk en kon via het eerder achterhaalde wachtwoord worden benaderd. Het bedrijf bleek verder wachtwoorden onversleuteld op te slaan.
Wat betreft het IoT-seksspeeltje was het mogelijk om een ongeauthenticeerde bluetooth-verbinding op te zetten en zo het apparaat te besturen. Dit bleek ook mogelijk via het internet te zijn. De app biedt de mogelijkheid voor vrienden om het speeltje op afstand over te nemen. Door een gebrek aan authenticatie was het voor een aanvaller mogelijk om dit te doen. Na te zijn ingelicht zijn de grootste problemen door de fabrikant verholpen. De overige kwetsbaarheden worden uiterlijk in maart opgelost. Hieronder een videodemonstratie van de onderzoekers.
https://www.sec-consult.com/en/blog/advisories/multiple-critical-vulnerabilities-in-whole-vibratissimo-smart-sex-toy-product-range/index.html
Durf het bijna niet te opperen.
Maar ik heb de indruk dat men hier een vergissing maakt.
In die .DS_STORE wordt niet zoveel opgeslagen.
Wat wel een probleem oplevert op dragers als usb sticks e.d., is de automatisch aangemaakte (onzichtbare) ".Spotlight-V100" directory met subdirecories als "Store-V1", "Store-V2" en waarin dan bijvoorbeeld weer mappen zijn te vinden met al gauw 40 tot 70 bestanden waarvan sommigen inderdaad traces van handelingen, databases, trefwoorden, zoekopdrachten etc kunnen bevatten, en nog vrij veel ook maar het ziet er wat random uit altijd.
Dit laakbare gedrag van OSX is al jaren bekend ; dat gevaar van spotlight dat sporen nalaat op usb sticks en andere datadragers.
Apple doet er niets aan, en het enige dat je zelf kan doen is de drager toevoegen aan de uitsluitingslijst van indexatie onder de spotlight voorkeuren.
in de Os9 tijd was het nog wat hardnekkiger, dan werden dit soort sporen doodleuk meegebrand op elke willekeurige cd die je brandde, zat het in 1 van de 2 meegeleverde db / index bestanden op de cd.
Alstublief en dankuwel.
Maar dat .DS_STORE bestand bevat bij mijn weten alleen data met layout voorkeuren als kolomweergave of icoonweergave, sorterting op datum of bestandssoort etc.
Ik denk dat het om die ".Spotlight-V100" directory gaat die is meegekopieerd naar een server en niet zozeer een .DS_STORE bestand dat bedoeld is voor andere zaken.
Maar zij zijn de experts en zullen het wel zo ontdekt hebben, tenzij ze het toch onjuist hebben 'opgenoteerd'.
https://en.wikipedia.org/wiki/.DS_Store
Kan je uitzetten in je upduckyproggie.
Maar ik heb de indruk dat men hier een vergissing maakt.
In die .DS_STORE wordt niet zoveel opgeslagen.
...
Maar dat .DS_STORE bestand bevat bij mijn weten alleen data met layout voorkeuren als kolomweergave of icoonweergave, sorterting op datum of bestandssoort etc.
https://en.wikipedia.org/wiki/.DS_Store
Het zal weliswaar niet het normale gebruik van dat bestand zijn, maar dat neemt niet weg dat men het op de beschreven manier kan misbruiken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
