Un fallo en la política IoT de Shark permite que un robot aspirador comprometido controle otros, exponiendo cámaras, mapas del hogar y contraseñas Wi-Fi.
Un fallo en la configuración de la nube de los robots aspiradores Shark ha dejado expuestos datos sensibles como cámaras, mapas del hogar y contraseñas Wi-Fi, al permitir que un dispositivo comprometido controle remotamente otros en la misma región de Amazon Web Services (AWS).
Por qué importa: Esta vulnerabilidad convierte un robot aspirador en una puerta trasera para acceder a múltiples dispositivos y datos privados, afectando la privacidad y seguridad de los usuarios.
Lo esencial
La política IoT de AWS usada por Shark permite que un certificado de un robot controle otros dispositivos en la misma región.
Un investigador extrajo el certificado del Shark RV2320EDUS y demostró acceso remoto a cámaras, mapas y contraseñas Wi-Fi almacenadas en texto plano.
Durante 24 horas, se detectaron más de 1.5 millones de dispositivos Shark en una región, con cerca del 44% soportando ejecución remota de comandos.
Imagen de referencia: Malwarebytes Labs.
Política IoT demasiado permisiva en AWS
El problema radica en la configuración del protocolo MQTT (Message Queuing Telemetry Transport) que Shark utiliza para comunicar sus robots con la nube. En lugar de restringir cada certificado a un solo dispositivo, la política permite publicar y suscribirse a temas de cualquier robot en la misma región AWS, que es una ubicación geográfica aislada de centros de datos.
Esto significa que un certificado robado de un robot puede enviar comandos a otros dispositivos, violando el aislamiento esperado entre ellos.
Impacto en privacidad y seguridad doméstica
El acceso remoto no solo permite encender o apagar el robot, sino que también habilita la visualización en tiempo real de la cámara integrada, convirtiendo el aspirador en un dispositivo de vigilancia móvil dentro del hogar.
Además, el robo de la contraseña Wi-Fi almacenada en texto plano puede facilitar la intrusión en la red local, mientras que el acceso a los mapas del hogar revela la distribución y uso de las habitaciones, información sensible para la privacidad.
Alcance y detección del fallo
El investigador identificado como tokay0 extrajo el certificado mediante acceso físico y consola de depuración, pero el abuso posterior es completamente remoto y basado en la nube.
En un monitoreo de 24 horas en una región AWS, se identificaron más de 1.5 millones de robots Shark, de los cuales aproximadamente 673,816 respondieron indicando soporte para ejecución remota de comandos, evidenciando la magnitud del problema.
Medidas para usuarios y fabricantes
El fallo es consecuencia directa de una política de seguridad en la nube mal configurada por Shark. Por ahora, la mitigación requiere que la empresa actualice sus políticas para restringir el acceso de certificados a dispositivos individuales.
Los usuarios deben estar conscientes de que el compromiso inicial requiere acceso físico, pero una vez obtenido, el atacante puede controlar remotamente múltiples dispositivos, aumentando el riesgo de espionaje y robo de datos.
Preguntas frecuentes sobre vulnerabilidad en robots Shark
¿Cómo se compromete inicialmente un robot Shark?
El certificado se extrae mediante acceso físico al dispositivo y uso de una consola de depuración, lo que requiere proximidad y manipulación directa.
¿Puede un atacante controlar robots en diferentes regiones AWS?
No, la vulnerabilidad permite control cruzado solo entre dispositivos dentro de la misma región AWS, que son entornos aislados geográficamente.
