Перейти к содержанию

Проблемы безопасности детского робота-игрушки | Блог Касперского


Рекомендуемые сообщения

Опубликовано

Эксперты «Лаборатории Касперского» изучили безопасность популярного детского робота и нашли серьезные проблемы, из-за которых злоумышленники получали возможность сделать видеозвонок на любого робота, перехватить управление над родительским аккаунтом или — потенциально — загрузить на робота модифицированную прошивку. Рассказываем обо всем этом подробнее.

Что умеет игрушечный робот

Изученная нами модель детского робота — это своеобразный гибрид смартфона (или планшета, если угодно) и умной колонки, поставленный на колесное шасси, позволяющее ему перемещаться в пространстве. Конечностей у робота нет, так что возможность ездить по дому — единственный вариант его физического взаимодействия с окружающим миром.

Центральным элементом робота служит крупный сенсорный дисплей, на который могут выводиться интерфейс управления, интерактивные и обучающие приложения для ребенка, а также мультяшное лицо, хорошо и разнообразно анимированное. Естественно, анимация зависит от контекста — над персоной робота разработчики очень неплохо потрудились.

Также роботом можно управлять с помощью голосовых команд, но это работает далеко не со всеми функциями — часто робота все же приходится ловить и тыкать пальцем ему в лицо во встроенный дисплей.

Помимо встроенного микрофона и весьма громкого динамика, у робота есть широкоугольная камера, расположенная прямо над дисплеем. И одна из важных функций, активно рекламируемых производителем, — это возможность родителям совершать видеозвонки ребенку прямо на робота.

На передней стороне робота — примерно посередине между дисплеем и колесами — находится дополнительный оптический датчик для распознавания объектов, чтобы робот мог избегать препятствий при перемещении. Поскольку распознавание препятствий никак не зависит от основной камеры, то разработчики предусмотрели очень полезную штуку: физическую шторку, позволяющую полностью эту камеру закрыть.

Так что если вы опасаетесь, что через камеру кто-нибудь может подсматривать за вами или вашим ребенком (увы, небезосновательно, но об этом ниже), то ее можно просто прикрыть шторкой. Ну а если вы переживаете о подслушивании через встроенный микрофон, то робота можно полностью выключить — судя по тому, как долго после этого он загружается, это действительно честное отключение, а не «режим сна».

Разумеется, на стороне родителей для управления и контроля за игрушкой используется специализированное приложение. И, как вы вероятно догадываетесь, все это подключено к Интернету и под капотом задействует массу различных облачных сервисов (если вам интересны технические подробности, то их можно найти в полной версии исследования безопасности, опубликованной на Securelist).

А чем сложнее система, тем больше вероятность того, что в ней есть дыры, которые позволяют сделать с ней что-то нехорошее. И тут мы подходим к основной теме этого поста: внимательно изучив робота, мы обнаружили несколько серьезных уязвимостей.

 

Посмотреть статью полностью

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • KL FC Bot
      Автор KL FC Bot
      Опытным геймерам хорошо известно об угрозах, связанных с установкой игр, модов, скинов и другого геймерского ПО из неофициальных ресурсов. Однако источниками заражения могут быть и те платформы, которым пользователи привыкли доверять, — сайты разработчиков и официальные магазины.
      В нашем посте мы разберем несколько случаев, когда злоумышленники распространяли вредоносное ПО через официальные геймерские ресурсы. В конце расскажем, как защитить свою систему, лут и аккаунт — и спокойно играть, не опасаясь встретиться с неожиданными сюрпризами даже на привычных платформах.
      Зараженная утилита для настройки мыши Endgame Gear
      В июле 2025 года производитель продвинутых мышей, ориентированных на киберспортсменов и опытных геймеров, Endgame Gear сообщил о вредоносном ПО, которым была заражена утилита для настройки мыши OP1w 4k v2. Этот троян находился на официальном сайте компании почти две недели — с 26 июня по 9 июля 2025 года.
      На официальной странице игровой мыши модели Endgame Gear OP1w 4k v2 распространялась утилита настройки, зараженная вредоносным ПО. Источник
      Таким образом, пользователи, загрузившие в этот период утилиту с официальной страницы модели, получали вместе с ней вредоносное ПО. В Endgame Gear не уточнили, какая именно вредоносная нагрузка была в зараженной версии утилиты, но, судя по данным пользовательских сканирований, это был бэкдор семейства XRed.
      XRed обладает широким набором возможностей для удаленного управления зараженной системой. Он имеет функцию кейлоггера, а также позволяет злоумышленнику получать доступ к командной строке, делать скриншоты, просматривать содержимое дисков и папок, загружать и удалять файлы. Кроме того, зловред может скачивать дополнительные модули и передавать собранные данные о системе на удаленные серверы.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Вечером 15 сентября началась новая атака на популярнейший реестр JavaScript-компонентов, npm. Ряд пакетов, некоторые из которых имеют миллионы еженедельных загрузок, были заражены вредоносным кодом, крадущим токены и ключи аутентификации. Его самая интересная особенность – он способен распространяться автоматически, заражая другие доступные пакеты. Среди зараженных пакетов отметим популярный @ctrl/tinycolor. По данным Aikido Security были скомпрометированы почти 150 пакетов, включая пакеты Crowdstrike.
      Методика распространения и алгоритм работы
      Способ первого заражения и «нулевой пациент» на сегодня неизвестны. Поскольку «почерк» атаки очень похож на недавний инцидент s1ngularity, возможно, это тоже был фишинг. Но дальнейшая цепочка заражения такова:
      Вредоносный код добавляется в скомпрометированные пакеты в виде постинсталляционного скрипта, сохраненного в файле bundle.js. Когда жертва устанавливает себе зараженный пакет, скрипт начинает свою работу. В отличие от прошлого инцидента, скрипт кроссплатформенный и работает как в *nix-средах, так и под Windows. Скрипт скачивает подходящую для платформы версию TruffleHog, легитимного инструмента поиска секретов. TruffleHog находит в локальных файловых системах и доступных репозиториях строки с высокой энтропией. Это криптографические ключи, API-токены и другая подобная информация. Кроме поиска через TruffleHog, скрипт проверяет полезные токены, анализируя переменные окружения, например GITHUB_TOKEN, NPM_TOKEN, AWS_ACCESS_KEY_ID и AWS_SECRET_ACCESS_KEY. Затем он проверяет, действительны ли они, запросами к API-узлам npm whoami и GitHub user. Затем скрипт компрометирует пакеты npm, к которым у атакованного пользователя есть доступ на публикацию. Для этого он скачивает для заражаемого пакета его текущую версию из npm, увеличивает подверсию на 1, добавляет ссылку на постинсталляционный сценарий (postinstall hook) и записывает свою копию в файл bundle.js. Троянизированный таким образом пакет «новой версии» публикуется в npm. Репозитории жертвы помечаются как публичные, что иногда является отдельной, более важной утечкой.  
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Один из самых больших страхов в жизни человека — потеря домашнего питомца. Неважно, заплутала ли случайно собака в парке во время прогулки или удрала ли кошка исследовать окрестности дачи: любое из подобных событий — мощнейший источник стресса как для человека, так и для животного.
      Разумеется, для животных существуют геотрекеры, но большинство из них работает нестабильно там, где нет Интернета, например в лесу или парке, и там, где сигнал навигационных спутников заблокирован, — скажем, в подвалах, любимых «укрытиях» сбежавших кошаков. Кроме того, подобным геотрекерам нужны мощная батарея и своя SIM-карта, и, вдобавок к высокой цене самого трекера, они требуют постоянных расходов на связь и регулярной зарядки.
      Мы в «Лаборатории Касперского» создали новый сервис — PetKa — для поиска пропавших питомцев в городах. PetKa помогает защитить ваших питомцев и вернуть их домой в случае пропажи. Сегодня расскажем, как устроено наше решение и как начать им пользоваться.
      Умная метка Kaspersky Tag
      Сервис PetKa состоит из одной или нескольких (если у вас больше одного питомца) умных меток Kaspersky Tag и приложения PetKa для Android. Вы прикрепляете к ошейнику вашего любимца умную метку-маячок, авторизуетесь в приложении PetKa через My Kaspersky, добавляете профиль питомца, привязываете его метку в приложении и гуляете как и раньше — только теперь без стресса. PetKa не только обеспечивает отслеживание ваших меток Kaspersky Tag на карте, но и позволяет объединяться с другими пользователями для совместного поиска пропавших животных.
      Так устроена умная метка Kaspersky Tag
      Метка Kaspersky Tag объединяет в себе преимущества технологий GPS и Bluetooth, что позволяет точно определять местоположение питомца. Сигнал от метки будет обнаружен даже в труднодоступных областях: подвалах, оврагах и других сложных местах. В среднем приложение ловит Bluetooth-сигнал метки в обычных условиях в радиусе 60 метров, а на открытых пространствах — например, в парке — до 120 метров. Однако если вы предпочитаете прогулки в черте города, рядом с домами и другими препятствиями, то это расстояние может снижаться до 30 метров.
      В радиусе действия Bluetooth-сигнала вы можете "позвонить" на метку, нажав кнопку Проиграть мелодию в приложении, и найти питомца по звуку. В нашем внутреннем тестировании (а мы полгода испытывали PetKa на собственных любимцах в реальных условиях) внезапно выяснилось, что животные очень быстро понимают: если метка на ошейнике зазвучала, надо со всех лап нестись к хозяину за вкусняшкой.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Появится ли в 2027 году сверхразумный ИИ, пока не понятно. Зато прогноз на 2026-й уже ясен: год пройдет под знаком доступных ИИ-агентов — больших мультимодальных моделей, способных выстраивать и выполнять цепочку действий по команде пользователя. Уже сейчас «агентские» функции есть на сайте ChatGPT и других провайдеров, но для максимальной эффективности они должны выполнять нужные действия не где-то в облаке, а прямо на компьютере у пользователя. В идеале это, наверное, «ИИ-ОС», но создать операционную систему сложно. Поэтому все сосредоточились на понятном пользователям и эффективном варианте: ИИ-браузере. Под «ИИ-браузером» мы понимаем обычное приложение для просмотра сайтов, в которое глубоко внедрен доступ к LLM. ИИ-модель «видит» все открытые веб-страницы, может обрабатывать информацию с них и отдавать браузеру те же команды, что обычно дает пользователь: открыть, кликнуть, ввести, сохранить, загрузить.
      Пользу от такого решения видят все лидеры рынка — Perplexity выпустила собственный Comet Browser и недавно делала многомиллиардное предложение по покупке Chrome, а OpenAI запустила разработку собственного браузера. У Google и Microsoft ситуация проще — они интегрировали Gemini и Copilot в свои Chrome и Edge. Firefox идет к той же цели с другой стороны и постепенно интегрирует ИИ-функции глубоко в браузер.
      В результате уже сейчас реклама побуждает провести «апгрейд браузера», либо скачав новый, либо активировав «умные функции» в существующем. А в будущем году она будет звучать из каждого утюга. Остается решить: зачем это вам и стоят ли выгоды появляющихся рисков?
      Зачем вам ИИ-браузер
      Идеально воплощенный ИИ-ассистент в браузере может разгрузить владельца от многих нудных задач. Одной кнопкой можно получить краткую выжимку длинной статьи или двухчасового видео; вместо чтения длинного документа — задать вопрос по содержимому страницы. Все это происходит быстро и естественно, без необходимости копировать и вставлять ссылки или тексты на вкладке чат-бота.
      Но настоящий прорыв принесут именно агентские функции, то есть возможность не просто обрабатывать данные, а выполнять конкретные действия. Например, открыть любимый маркетплейс и написать ассистенту «положи мне в корзину все, что нужно для трехдневного турпохода в августе».
      В отличие от аналогичных функций, уже доступных на веб-сайтах ИИ-провайдеров, «агентурная работа» происходит прямо на вашем компьютере. Все нужные сервисы узнают вас (вы же вошли на сайты?), операции происходят гораздо быстрее, чем на облачной виртуальной машине — правда, не факт, что результативнее.
      Функции подбора информации могут выдавать более релевантные результаты в ИИ-браузере на вашем устройстве, потому что ботов ChatGPT, Claude, Perplexity и других не пускают на многие сайты, и поэтому LLM не учитывают в своих ответах многие актуальные источники. С запуском тех же функций из браузера эта проблема существенно уменьшится, ведь ИИ-ассистент будет заходить на сайты от вашего лица. И, если вы подписаны на какие-то закрытые источники данных (научные журналы, биржевые сводки), ИИ-агент сможет при необходимости использовать их в своей работе.
       
      View the full article
    • KL FC Bot
      Автор KL FC Bot
      Незаметно для нас мессенджеры стали неотъемлемой частью жизни, средой, где мы проводим значительную часть повседневных активностей. Мы используем их для общения с друзьями, семьей и коллегами, для чтения новостей, развлечения и даже для продвижения бизнеса или своего личного бренда. Разумеется, такой популярный инструмент неизбежно привлекает и злоумышленников. Поэтому, кроме комфорта и удобства, мессенджеры привносят в нашу жизнь и ряд рисков.
      В этом посте мы решили посмотреть на основные угрозы для пользователей мессенджеров с точки зрения производителя защитных решений и продумать, как разработчики могли бы обеспечить дополнительную безопасность своих коммуникационных приложений.
      Чрезмерные разрешения
      Каждое современное приложение при установке и во время использования просит разрешения на доступ к различным функциям мобильного устройства: контактам, камере, микрофону, геолокации, галерее фотографий и так далее. В большинстве случаев эти разрешения действительно необходимы для работы приложения, но иногда пользователи дают гораздо больше прав, чем это нужно для нормальной работы в данный момент. При этом далеко не всегда пользователю очевидно, зачем именно мессенджеру нужен тот или иной доступ и, что еще важнее, — что происходит с данными, к которым этот мессенджер доступ получил (особенно если контроль над приложением захватят злоумышленники). А между тем, лишние доступы могут нести угрозу не только приватности, но и безопасности всего устройства в целом. Чтобы минимизировать эти риски, следует придерживаться нескольких простых правил.
      Во-первых, мы рекомендуем придерживаться принципа минимально необходимых привилегий. Это значит, что доступ к каким-либо функциям и данным следует разрешать, только если пользователь понимает, для чего это нужно, и только на то время, когда это действительно необходимо. Например, простому текстовому мессенджеру едва ли нужен доступ к точной геолокации. Или если вы не собираетесь совершать видеозвонки через конкретный мессенджер, то и доступ к камере ему ни к чему.  
      View the full article
×
×
  • Создать...