黑客可以接管 Ecovacs 家用机器人来监视它们的主人

最近，研究人员警告说，Ecovacs 制造的真空吸尘器和割草机机器人可能会被黑客入侵以监视其所有者，该公司将对其进行修复。

在最近的 Def Con 黑客会议上，安全研究人员 Dennis Giese 和 Braelynn 解释说，攻击者可以利用 Ecovacs 制造的真空和割草机机器人的缺陷来监视其所有者。

研究人员分析了以下设备：科沃斯 Deebot 900 系列、科沃斯 Deebot N8/T8、科沃斯 Deebot N9/T9、科沃斯 Deebot N10/T10、科沃斯 Deebot X1、科沃斯 Deebot T20、科沃斯 Deebot X2、科沃斯 Goat G1、科沃斯 Spybot Airbot Z1、科沃斯 Airbot AVA 和科沃斯 Airbot ANDY。

专家们发现了一系列漏洞，这些漏洞可能允许威胁行为者通过蓝牙接管设备的摄像头和麦克风。专家指出，机器人没有灯来指示它们的摄像头和麦克风已打开。

“他们的安全真的、真的、真的、真的很糟糕，”吉斯告诉 TechCrunch。

研究人员在 Ecovacs 机器人中发现的问题之一允许 450 英尺内的任何人都可以通过蓝牙控制该设备。一旦攻击者获得了对设备的控制权，他们就可以通过其 Wi-Fi 连接远程访问机器人。然后，他们可以检索敏感数据，如 Wi-Fi 凭据、保存的房间地图，甚至访问摄像头和麦克风。

Giese 解释说，科沃斯割草机机器人的蓝牙一直处于激活状态，而扫地机器人在开机后仅启用 20 分钟，在自动重启期间每天启用一次，这使得它们更难被黑客入侵。虽然理论上某些型号在摄像头开启时每五分钟播放一次音频警报，但黑客可以轻松删除此文件，从而使其在不被发现的情况下进行操作。

这两位研究人员还发现了 Ecovacs 设备的其他几个问题。他们发现，即使在用户删除其帐户后，数据和身份验证令牌仍保留在 Ecovacs 的云服务器上，这可能允许未经授权访问机器人扫地机，并可以监视二手购买该设备的个人。此外，割草机机器人具有以明文形式存储在设备内的防盗 PIN，攻击者可以轻松获取和滥用它。此外，一旦 Ecovacs 机器人遭到入侵，它就有可能被用来入侵附近的其他 Ecovacs 机器人。

最初，科沃斯的一位发言人告诉 TechCrunch，该公司不会解决研究人员发现的漏洞。

几周后，供应商宣布将解决这些问题。