DJI corrige vulnerabilidade maciça em contas de usuário que poderia ter permitido que hackers assumissem o controle de seu drone e roubassem informações pessoais

Fonte DJI Spark - DigitalTrends

Drones DJI são a tendência quente do século 21. No entanto, por serem funcionais e bem construídos, algumas vulnerabilidades neles podem representar uma séria ameaça à sua segurança. Como esses drones dependem de uma conta DJI para funcionar, você pode ter sérios problemas se um hacker conseguir acesso à sua conta. O hacker pode acessar seu drone e voar ou bater em uma zona sensível de mais ou nenhuma mosca. Além disso, as informações pessoais também podem ser acessadas por meio do exploit e isso pode colocá-lo em mais perigo. De acordo com pesquisadores da empresa de segurança cibernética Check Point , As contas DJI têm três vulnerabilidades principais:

• Bug de cookie seguro no processo de identificação DJI
• Uma falha de script entre sites (XSS) em seu fórum
• Um problema de SSL Pinning em seu aplicativo móvel

Os hackers podem explorar as fraquezas mencionadas acima simplesmente postando um link em um dos fóruns como isca de clique e assim que o usuário fizer login em sua conta DJI, Voila! Eles têm acesso completo à conta. Os hackers podem usá-lo para rastrear os movimentos do drone através da cobertura do mapa ao vivo, que também pode expor a localização do usuário. Eles até obtêm acesso às fotos pessoais do usuário capturadas pela câmera.

Explorar Infográfico
Fonte - TheHackerNews

Além disso, os hackers também podem obter acesso ao seu drone diretamente, bombardeando-o com várias solicitações de conexão sem fio em rápidas sucessões, causando o mau funcionamento do pacote de dados e travando o drone. O hacker pode enviar ao drone um pacote de dados excepcionalmente grande que excederia a capacidade do buffer do drone e instantaneamente travá-lo. Além disso, o hacker pode enviar um pacote digital falso de seu laptop ou PC, que pode se passar por um sinal enviado do controlador real, permitindo que ele controle o drone. Usando seu drone, os hackers podem até mesmo cometer crimes em potencial, como voar para áreas confidenciais e você nunca saberá. Da mesma forma, ao assumir o controle de sua conta, os hackers podem facilmente roubar seu drone, pousando-o em sua própria porta.

Essas vulnerabilidades foram descobertas por meio de Programa de recompensa de bug do DJI , onde os pesquisadores são encorajados a relatar o bug descoberto em troca de uma recompensa financeira. Embora os detalhes exatos da recompensa financeira dada tenham sido mantidos ocultos, a recompensa por bug é de até $ 30.000 por relatar uma única vulnerabilidade. thehackernews.com afirma que a vulnerabilidade foi relatada à equipe de segurança em março de 2018 e o problema foi resolvido com êxito seis meses depois, em setembro de 2018. DJI classificou a falha de segurança como 'alto risco - vulnerabilidade baixa' devido à exigência de o usuário já estar logado sua conta DJI. No entanto, o patch de segurança mais recente abordou a suscetibilidade do sistema a tais ataques, em que os dados são transmitidos secretamente ao hacker.