Un gran agujero en el plato: El comedero inteligente para mascotas tiene una fuga

Todos los dueños de animales aman a sus mascotas. ¿Y qué es lo que las mascotas adoran por encima de todo? El cariño y la comida, por supuesto. O viceversa: primero la comida y luego las caricias.

En la actualidad, los comederos inteligentes están diseñados para que tu mascota no pase hambre ni se aburra mientras no estás en casa. Pero, en materia de ciberseguridad, ¿qué podemos decir? No es muy bueno…

Comedero inteligente para nuestros amigos peludos

Los comederos inteligentes se están convirtiendo en una opción popular para los dueños de mascotas que no pueden quedarse en casa todo el día. Es difícil explicarle a un gato o un perro por qué tienes que salir de casa cada mañana en lugar de quedarte en ella para darle de comer y pasear, o jugar con él, pero al menos con un comedero inteligente, no pasa hambre.

Los primeros comederos inteligentes eran dispositivos que funcionaban con un temporizador y se limitaban a dosificar las raciones de comida. Pero, a medida que los sistemas de hogares inteligentes se pusieron de moda, los comederos empezaron a ser más sofisticados y adquirieron funciones adicionales. Ahora, no solo puedes establecer un programa para suministrar la comida, sino también supervisar e incluso comunicarte de forma remota con tu mascota mediante el micrófono, el altavoz y la cámara integrados. Además, muchos son compatibles con el control por voz a través de dispositivos externos, como Amazon Alexa. Para ello, puedes conectarlos a la red Wi-Fi de tu casa y controlarlos a través de una aplicación en tu teléfono.

Como puedes suponer, si un dispositivo para el hogar inteligente tiene cámara, micrófono y acceso a Internet, es sin duda algo muy interesante para los piratas informáticos. En cuanto a la seguridad de las cámaras IP (o a la falta de ella), ya le hemos dedicado mucho tiempo a esta cuestión: los piratas informáticos pueden controlar los monitores de bebés en línea para acosar a las niñeras y asustar a los niños; las aspiradoras robot pueden filtrar fotografías comprometedoras de los propietarios o imágenes de la casa; e incluso se han utilizado bombillas inteligentes (!) para atacar las redes domésticas.

Ahora es el turno de los comederos inteligentes.

Plato con fugas

Nuestros expertos estudiaron el popular comedero inteligente Dogness y descubrieron muchas vulnerabilidades en él que le permiten a un atacante alterar el horario de alimentación, lo que podría poner en peligro la salud de tu mascota o incluso convertir el comedero en un dispositivo de espionaje. Entre los problemas de seguridad más frustrantes se incluyen el uso de credenciales codificadas, la comunicación con la nube en texto no cifrado y un proceso de actualización de firmware poco seguro. Estas vulnerabilidades se pueden aprovechar para obtener acceso no autorizado al comedero inteligente y utilizarlo como trampolín para atacar otros dispositivos de la red doméstica. Para obtener más información sobre la metodología de investigación, consulta nuestro informe detallado sobre Securelist. Sin embargo, nos limitaremos a mencionar los defectos que se han detectado y los riesgos que representan.

La raíz del problema

La principal vulnerabilidad del comedero inteligente de Dogness es el servidor Telnet que permite el acceso raíz remoto a través del puerto predeterminado. Al mismo tiempo, la contraseña de superusuario está codificada en el firmware y no se puede cambiar, lo que significa que un atacante que extrae el firmware puede recuperar fácilmente la contraseña y obtener acceso completo al dispositivo y, de hecho, a cualquier dispositivo del mismo modelo, ya que todos tienen la misma contraseña raíz. Todo lo que tienen que hacer es comprar el mismo modelo de comedero y manipularlo.

Al iniciar sesión de forma remota a través de Telnet (para esto, el pirata informático necesita obtener acceso remoto a la red doméstica) con acceso raíz, un intruso puede ejecutar cualquier código en el dispositivo, cambiar la configuración y robar los datos confidenciales, incluido el metraje de vídeo transferido desde la cámara del comedero a la nube. De este modo, el comedero puede transformarse fácilmente en un dispositivo de espionaje con una cámara gran angular y un buen micrófono.

¿Alguien sabe de cifrado?

Además de que la contraseña raíz está integrada en el firmware y es común para todos los dispositivos, detectamos una vulnerabilidad igualmente peligrosa: el comedero se comunica con la nube sin ningún tipo de cifrado. Del mismo modo, los datos de autenticación se transmiten sin ningún tipo de cifrado, lo que significa que un delincuente ni siquiera tiene que molestarse en extraer la contraseña raíz del firmware: le basta con interceptar el tráfico entre el comedero y la nube, obtener acceso al dispositivo y, luego, atacar otros dispositivos de la misma red a través de este, lo que pone en riesgo toda la infraestructura del hogar.

¡Alexa, ladra!

Pero a pesar de los agujeros, el plato sigue lleno de sorpresas. El comedero Dogness se puede conectar a Amazon Alexa para control por voz. Práctico, ¿verdad? Solo tienes que decirle a Alexa: “¡Alimentar!”. Ni siquiera necesitas sacar tu teléfono.

Una vez más, como puedes imaginar, una seguridad tan débil por parte de los desarrolladores tiene consecuencias. El dispositivo recibe órdenes de Alexa a través de MQTT (Transporte de telemetría de Message Queue Server) y las credenciales de inicio de sesión se vuelven a escribir en texto no cifrado directamente en el archivo ejecutable. Lo que de nuevo significa que son las mismas credenciales para todos los dispositivos del mercado, es decir, una vez que conectas tu comedero a Alexa para controlarlo por voz, ya no es realmente tu comedero.

Si un pirata informático se conecta al servidor MQTT, puede recopilar rápidamente los identificadores de todos los dispositivos similares conectados al servidor, es decir, todos aquellos comederos cuyos propietarios decidieron utilizar el control por voz. Después de eso, el ciberdelincuente puede enviar cualquiera de las órdenes disponibles a través del control por voz desde el servidor MQTT a cualquier comedero Dogness conectado a Alexa con un identificador conocido.

Un ciberdelincuente podría enviarle órdenes para cambiar el horario de alimentación y las cantidades de comida dosificadas (con lo que tu mascota se daría un festín digno de un rey o ayunaría como Jesús). Otro efecto secundario es que un atacante podría enviar órdenes especialmente diseñadas al comedero de forma repetitiva, con lo que la interfaz de comandos de voz dejaría de funcionar.

Transmisión, lo desees o no

A medida que avanzaba el estudio, surgieron nuevas sorpresas con respecto a la carga de vídeo en la nube, desde donde se puede volver a transmitir al teléfono. Aunque la aplicación móvil se conecta al servidor mediante el protocolo seguro HTTPS, resulta que el comedero transmite los datos a la nube sin ningún tipo de cifrado, a través de un HTTP antiguo y defectuoso. Además, tanto el ID del dispositivo como la clave de carga (que está codificada en el binario) se transmiten al servidor en texto no cifrado.

Debido a que la cámara del comedero está diseñada para grabar y transmitir vídeo de forma continua al servidor, esta vulnerabilidad les permite a los atacantes ver y escuchar todo lo que sucede en el campo de visión de la cámara.

Firmware poco seguro

Por último, la guinda del pastel, o mejor dicho, la gota que colmó el vaso: el proceso de actualización del firmware, el medio para solucionar los problemas anteriores, es poco seguro. Para actualizar, el comedero descarga un archivo comprimido con el nuevo firmware desde el servidor de actualización a través del protocolo HTTP no seguro. Sí, el archivo comprimido está protegido con contraseña, pero, como probablemente ya lo suponías, esta contraseña está escrita en texto no cifrado en uno de los scripts de actualización. Y la URL desde la que se descarga la última versión del firmware se genera sobre la base de la respuesta recibida del servidor de actualización, cuya dirección está, eso sí, integrada en el firmware existente.

No hay firmas digitales ni otros métodos para verificar el firmware: el dispositivo descarga el archivo comprimido con el nuevo firmware a través de un canal no cifrado, lo descomprime con la contraseña integrada (y común a todos los dispositivos) y lo instala de inmediato. Esto significa que un atacante puede modificar el firmware y cargar lo que desee en el dispositivo, y añadir funciones inesperadas y no deseadas.

¿Cómo puedes mantenerte seguro?

En un mundo ideal, todos estos defectos de seguridad habrían sido resueltos por el fabricante del comedero con una actualización oportuna del firmware, antes de que los piratas informáticos tuvieran conocimiento de estos. De vuelta al mundo real, hemos informado repetidamente de los defectos a dicho fabricante, pero no hemos tenido respuesta, desde octubre de 2022. Mientras tanto, todas las vulnerabilidades que encontramos siguen ahí en los comederos inteligentes Dogness que se venden al público. Y esto supone una grave amenaza para el bienestar de las mascotas y la privacidad de los dueños.

Te recomendamos leer nuestra guía detallada para configurar la seguridad del hogar inteligente. La mayoría de los consejos se aplican de igual modo a los problemas del comedero inteligente descritos anteriormente. En cualquier caso, proporcionamos algunos consejos sencillos específicos para los dueños de comederos Dogness:

• Comprueba de manera periódica si hay actualizaciones de firmware.
• No uses Amazon Alexa para controlar tu comedero Dogness.
• Desactiva la transmisión de vídeo a la nube o coloca el comedero en tu hogar de manera que la cámara no pueda grabar nada privado.
• Configura una conexión a la VPN segura para acceder a Internet con un enrutador compatible con tu red doméstica, esto reducirá en gran medida el riesgo de ataques a través del protocolo HTTP poco seguro.
• Si el router no es compatible con una VPN, crea una red Wi-Fi para invitados y conecta el comedero (y otros dispositivos domésticos inteligentes poco seguros). Esto evitará ataques a otras partes de tu red doméstica si un dispositivo inteligente poco seguro es pirateado.
• Usa una solución de seguridad confiable en todos los dispositivos de tu hogar. Te recomendamos una suscripción a Kaspersky Premium para obtener una protección integral de todos los dispositivos de tu hogar. Esto incluye acceso a una VPN de alta velocidad con ancho de banda ilimitado, además de la supervisión de los cambios en tu red doméstica para detectar y rechazar conexiones no autorizadas.