Abo
  • IT-Karriere:

Xiaomi-Hack: Go Scooter, stop Scooter

Xiaomis Scooter mit Elektroantrieb haben eine drastische Sicherheitslücke: Die Scooter können per Bluetooth ferngesteuert werden.

Artikel veröffentlicht am ,
Xiaomis Scooter M365 lässt sich per Bluetooth übernehmen.
Xiaomis Scooter M365 lässt sich per Bluetooth übernehmen. (Bild: Xiaomi)

Schnell noch um die Ecke zum Bäcker scooten. Mit dem elektrischen Tret-Roller muss man dafür nicht mal groß treten. Allerdings lässt sich die Steuerung des Scooters M365 von Xiaomi komplett übernehmen. Hacker können den Scooter einfach abrupt abremsen lassen. Das könne im Straßenverkehr tödliche Folgen haben, sagt die Sicherheitsfima Zimperium, die die Lücke entdeckt hat.

Stellenmarkt
  1. ZIEHL-ABEGG SE, Künzelsau
  2. SOLCOM GmbH, Reutlingen

Der Scooter kann über Bluetooth mit einer App gesteuert werden. Mit ihr kann beispielsweise der Diebstahlschutz aktiviert und deaktiviert werden, die Geschwindigkeit geregelt oder die Firmware des Scooters aktualisiert werden. Die App verwendet zwar einen Passwortschutz, das Passwort gilt allerdings nur für die App und nicht für den Scooter. Der führt die per Bluetooth gesendeten Befehle auch ohne Passwort aus. Die Sicherheitsforscher können die Bluetooth-Steuerung der Roller übernehmen.

Bei den Angriffszenarien ist laut den Sicherheitsforschern ein Denial-of-Service denkbar, der den Scooter unbenutzbar macht. Zudem sei es möglich, Schadsoftware auf den Scooter zu spielen und so die volle Kontrolle über das Gerät zu erhalten. Einzelnen Scootern können Kommandos geschickt werden, mit denen sie beispielsweise abrupt gesperrt werden können.

Scooter per App fernsteuern

Zimperium hat eine App Proof-of-Concept erstellt, mit der der Diebstahlschutz jedes beliebigen Xiaomi M365 Scooters im Umkreis von hundert Metern deaktiviert werden kann. Die App möchte das Unternehmen aus Sicherheitsgründen nicht veröffentlichen.

Xiaomi wurde über die Sicherheitslücke informiert, die Reaktion hat Zimperium in einem Blogeintrag veröffentlicht. Die Lücke sei Xiaomi intern bereits bekannt und veröffentlicht worden. Da es sich bei dem Produkt um eine Kooperation mit einem Dritthersteller handele, müsse man sich mit diesem abstimmen.

Eine ähnliche Sicherheitslücke konnte Zimperium bereits 2017 in einem Hoverboard von Segway identifizieren. Segway wurde 2015 von der Firma Ninebot übernommen, an der Xiaomi mehrheitlich beteiligt ist. Neben Scootern und Segways hat Xiaomi auch Mini-Fahrräder mit Elektro-Antrieb im Angebot.



Anzeige
Spiele-Angebote
  1. (-87%) 2,50€
  2. (-75%) 14,99€
  3. 1,19€
  4. (-75%) 3,75€

Dwalinn 14. Feb 2019

Und immer diese Mentalität das man im James bond Film ist. wow der Diebstahl Schutz kann...


Folgen Sie uns
       


Wolfenstein Youngblood angespielt

Zwillinge im Kampf gegen das Böse: Im Actionspiel Wolfenstein Youngblood müssen sich Jess und Soph Blazkowicz mit dem Regime anlegen.

Wolfenstein Youngblood angespielt Video aufrufen
FPM-Sicherheitslücke: Daten exfiltrieren mit Facebooks HHVM
FPM-Sicherheitslücke
Daten exfiltrieren mit Facebooks HHVM

Server für den sogenannten FastCGI Process Manager (FPM) können, wenn sie übers Internet erreichbar sind, unbefugten Zugriff auf Dateien eines Systems geben. Das betrifft vor allem HHVM von Facebook, bei PHP sind die Risiken geringer.
Eine Exklusivmeldung von Hanno Böck

  1. HHVM Facebooks PHP-Alternative erscheint ohne PHP

Google Maps in Berlin: Wenn aus Aussetzfahrten eine neue U-Bahn-Linie wird
Google Maps in Berlin
Wenn aus Aussetzfahrten eine neue U-Bahn-Linie wird

Kartendienste sind für Touristen wie auch Ortskundige längst eine willkommene Hilfe. Doch manchmal gibt es größere Fehler. In Berlin werden beispielsweise einige Kleinprofil-Linien falsch gerendert. Dabei werden betriebliche Besonderheiten dargestellt.
Von Andreas Sebayang

  1. Kartendienst Qwant startet Tracking-freie Alternative zu Google Maps
  2. Nahverkehr Google verbessert Öffi-Navigation in Maps
  3. Google Maps-Nutzer können öffentliche Veranstaltungen erstellen

Endpoint Security: IT-Sicherheit ist ein Cocktail mit vielen Zutaten
Endpoint Security
IT-Sicherheit ist ein Cocktail mit vielen Zutaten

Tausende Geräte in hundert verschiedenen Modellen mit Dutzenden unterschiedlichen Betriebssystemen. Das ist in großen Unternehmen Alltag und stellt alle, die für die IT-Sicherheit zuständig sind, vor Herausforderungen.
Von Anna Biselli

  1. Datendiebstahl Kundendaten zahlreicher deutscher Firmen offen im Netz
  2. Metro & Dish Tisch-Reservierung auf Google übernehmen
  3. Identitätsdiebstahl SIM-Dieb kommt zehn Jahre in Haft

    •  /