Le plus connu Scooter électrique Mi M365 de Xiaomi es l'un des scooters électriques les plus populaires du moment. Son excellente construction et son prix font du produit un best-seller dans le monde entier, et comme d'habitude avec ces produits à succès, ils deviennent également le centre de l'attention des pirates.
Une faille de sécurité dans le Xiaomi M365 permet son contrôle à distance
le groupe de sécurité Zimperium a publié un rapport dans lequel ils démontrent que La trottinette de Xiaomi souffre d'une vulnérabilité qui vous permet de prendre le contrôle à distance de l'appareil et exécuter des commandes sans aucune information d'identification nécessaire pour cela. Selon ce qu'ils disent, le processus d'enregistrement de l'utilisateur n'est nécessaire que dans l'application officielle, cependant, dans une connexion directe avec l'appareil, aucun type d'authentification n'est requis, les commandes peuvent donc être exécutées librement.
Nos chercheurs ont pu pirater l'un des principaux scooters électriques - le Xiaomi M365 - et verrouiller, freiner et/ou accélérer efficacement les scooters de tous les conducteurs qui passaient. En savoir plus sur la découverte de la preuve de concept : https://t.co/w5kKAerEXJ pic.twitter.com/kcNSFuifDE
– ZIMPERIUM (@ZIMPERIUM) 12 de Février 2019
Une fois connecté à l'ordinateur, l'attaquant pourrait prendre le télécommande du scooter à une distance maximale d'environ 100 mètres pour exécuter des commandes telles que verrou de patin o accélération et freinage sans raison apparente, des actions qui pourraient sans aucun doute provoquer un accident, affectant à la fois la personne qui conduit le scooter et toute autre personne à proximité. Pour ce faire, il faudrait installer des logiciels malveillants déguisés en firmware, une opération que le module Bluetooth du scooter ne supervise à aucun moment, de sorte que l'attaquant aurait toute liberté d'installer ce qu'il voulait. Dans la vidéo ci-dessous, publiée par Zimperium, vous pouvez voir comment une application créée pour l'occasion par le groupe de sécurité est capable de bloquer la trottinette électrique à distance.
Comme signalé, Xiaomi est au courant de ce problème depuis des semaines et travaille actuellement sur un correctif qui se présentera sous la forme d'une mise à jour du système. Cependant, tout indique que la tâche ne sera pas aisée, puisque le module bluetooth qui a été affecté dépend d'un fabricant tiers, ils devront donc travailler ensemble pour lancer une sorte de solution commune. Pour l'instant, ce sont toutes les informations que l'on connaît à son sujet, il va donc falloir être prudent avant l'éventuelle apparition d'applications malveillantes qui encouragent ce type de méfaits.
[RelatedNotice blank title=»Voici les 5 scooters électriques que vous pouvez acheter sur Amazon»]https://eloutput.com/input/guide-compras/patinetes-electricos-amazon/[/RelatedNotice]
Comment éviter le piratage de votre trottinette Xiaomi ?
Malheureusement, l'erreur affecte le niveau du système, il n'y a donc aucun moyen de les empêcher de se connecter au scooter à distance. Il est inutile d'établir un mot de passe complexe via l'application officielle, car comme nous l'avons déjà commenté, le système ne nécessite aucun type d'authentification lors d'une connexion directe. La seule solution pour l'instant est d'attendre que le constructeur publie la mise à jour avec le correctif de sécurité, donc en attendant il faudra être prudent.
Mettre à jour: Nous mettons à jour l'article avec les déclarations officielles de Xiaomi sur l'affaire.
Xiaomi est conscient de la vulnérabilité que les pirates malveillants peuvent exploiter pour perturber les opérations du Mi Electric Scooter. Dès que nous avons découvert cette vulnérabilité, nous nous sommes efforcés de la corriger et de supprimer toutes les applications non autorisées. Pendant ce temps, les équipes produit et sécurité de Xiaomi préparent une mise à jour OTA qui sera disponible dès que possible. Xiaomi apprécie les commentaires de nos utilisateurs et de la communauté de la sécurité. Nous nous engageons à nous améliorer constamment en fonction de tous les commentaires pour créer des produits meilleurs et plus sûrs.
Mise à jour 2: Depuis la communauté des utilisateurs mixx.io ils rapportent que le problème de sécurité de la connexion Bluetooth était un secret de polichinelle depuis plus d'un an. Cette faille a été utilisée pour installer des firmwares maison qui permettaient d'augmenter la puissance du skate, donc la découverte pouvait ne pas sembler si nouvelle. Cependant, les études de Zimperium ont montré la gravité du problème, et ont servi à comprendre jusqu'où on pouvait aller avec un tel accès.
De plus, cet utilisateur a commenté une solution ingénieuse qui servirait à bloquer l'accès à distance à notre patin, puisqu'il suffirait de relier le patin à un appareil pour que la connexion soit bloquée à tout moment (un deuxième appareil ne pourrait pas établir la connexion), il est également possible de changer le nom de l'appareil afin qu'il prétende être un téléphone avec une connexion Bluetooth ouverte, ce qui induirait en erreur l'éventuel attaquant.
[Merci à M4p3x pour le tuyau]