Xiaomi-Hack: Go Scooter, stop Scooter

Xiaomis Scooter mit Elektroantrieb haben eine drastische Sicherheitslücke: Die Scooter können per Bluetooth ferngesteuert werden.

Artikel veröffentlicht am ,
Xiaomis Scooter M365 lässt sich per Bluetooth übernehmen.
Xiaomis Scooter M365 lässt sich per Bluetooth übernehmen. (Bild: Xiaomi)

Schnell noch um die Ecke zum Bäcker scooten. Mit dem elektrischen Tret-Roller muss man dafür nicht mal groß treten. Allerdings lässt sich die Steuerung des Scooters M365 von Xiaomi komplett übernehmen. Hacker können den Scooter einfach abrupt abremsen lassen. Das könne im Straßenverkehr tödliche Folgen haben, sagt die Sicherheitsfima Zimperium, die die Lücke entdeckt hat.

Stellenmarkt
  1. C/C++ Softwareentwickler (m/w/d) - Embedded Systems
    ProjektAntrieb IT GmbH, Fürth
  2. Web-Entwickler/in HTML/CSS/JS (m/w/d)
    neubau kompass AG, München
Detailsuche

Der Scooter kann über Bluetooth mit einer App gesteuert werden. Mit ihr kann beispielsweise der Diebstahlschutz aktiviert und deaktiviert werden, die Geschwindigkeit geregelt oder die Firmware des Scooters aktualisiert werden. Die App verwendet zwar einen Passwortschutz, das Passwort gilt allerdings nur für die App und nicht für den Scooter. Der führt die per Bluetooth gesendeten Befehle auch ohne Passwort aus. Die Sicherheitsforscher können die Bluetooth-Steuerung der Roller übernehmen.

Bei den Angriffszenarien ist laut den Sicherheitsforschern ein Denial-of-Service denkbar, der den Scooter unbenutzbar macht. Zudem sei es möglich, Schadsoftware auf den Scooter zu spielen und so die volle Kontrolle über das Gerät zu erhalten. Einzelnen Scootern können Kommandos geschickt werden, mit denen sie beispielsweise abrupt gesperrt werden können.

Scooter per App fernsteuern

Zimperium hat eine App Proof-of-Concept erstellt, mit der der Diebstahlschutz jedes beliebigen Xiaomi M365 Scooters im Umkreis von hundert Metern deaktiviert werden kann. Die App möchte das Unternehmen aus Sicherheitsgründen nicht veröffentlichen.

Golem Akademie
  1. Penetration Testing Fundamentals
    23.-24. September 2021, online
  2. Microsoft 365 Security Workshop
    9.-11. Juni 2021, Online
Weitere IT-Trainings

Xiaomi wurde über die Sicherheitslücke informiert, die Reaktion hat Zimperium in einem Blogeintrag veröffentlicht. Die Lücke sei Xiaomi intern bereits bekannt und veröffentlicht worden. Da es sich bei dem Produkt um eine Kooperation mit einem Dritthersteller handele, müsse man sich mit diesem abstimmen.

Eine ähnliche Sicherheitslücke konnte Zimperium bereits 2017 in einem Hoverboard von Segway identifizieren. Segway wurde 2015 von der Firma Ninebot übernommen, an der Xiaomi mehrheitlich beteiligt ist. Neben Scootern und Segways hat Xiaomi auch Mini-Fahrräder mit Elektro-Antrieb im Angebot.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
DJI FPV im Test
Adrenalin und Adlerauge

Die DJI FPV verpackt ein spektakuläres Drohnen-Flugerlebnis sehr einsteigerfreundlich. Wir haben ein paar Runden mit 100 km/h gedreht.
Ein Test von Martin Wolf

DJI FPV im Test: Adrenalin und Adlerauge
Artikel
  1. Stranger of Paradise: Square Enix blamiert sich mit Final Fantasy Origin
    Stranger of Paradise
    Square Enix blamiert sich mit Final Fantasy Origin

    E3 2021 Der Held sieht doof aus und die Demo streikt: Beim Souls-Konkurrenten Final Fantasy Origin geht bislang alles schief.

  2. Der Fall Anne-Elisabeth Hagen: Lösegeldforderung per Bitcoin-Transaktion
    Der Fall Anne-Elisabeth Hagen
    Lösegeldforderung per Bitcoin-Transaktion

    Der Fall der verschwundenen norwegischen Millionärsgattin Anne-Elisabeth Hagen ist auch ein Krimi um Kryptowährungen und Anonymisierungsdienste.
    Von Elke Wittich und Boris Mayer

  3. Microsoft: Windows-10-Nutzer von neuer Wetter-App genervt
    Microsoft
    Windows-10-Nutzer von neuer Wetter-App genervt

    Ungenaue Vorhersagen und matschige Schrift: Die Wetter-App in Windows 10 stört einige. Gleiches gilt beim News-Feed. Beides ist versteckbar.

Dwalinn 14. Feb 2019

Und immer diese Mentalität das man im James bond Film ist. wow der Diebstahl Schutz kann...


Folgen Sie uns
       


Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • Xbox Series X aktuell bestellbar 499,99€ • WD Black SN850 500GB PCIe 4.0 89€ • Amazon-Geräte günstiger • Crucial MX500 500GB 48,99€ • Apple iPhone 12 mini 64GB Rot 589€ • Far Cry 6 + Steelbook PS5 69,99€ • E3-Aktion: Xbox-Spiele bei MM günstiger • Alternate XXL Sale [Werbung]
    •  /