Bayangkan: Anda bangun di malam hari untuk minum segelas air, berjalan melintasi tangga yang gelap, ketika dari kegelapan sebuah suara mulai meneriaki Anda. Tidak bagus, Anda pasti setuju. Namun hal tersebut merupakan kenyataan baru bagi pemilik robot penyedot debu yang rentan, yang dapat diperintahkan oleh peretas untuk berubah dari pembantu rumah tangga menjadi orang yang suka bermulut kotor. Dan bukan itu saja: peretas juga dapat mengendalikan robot dari jarak jauh dan mengakses rekaman kamera langsungnya.
Bahayanya jelas dan nyata: baru-baru ini, kasus-kasus cyberhooligan yang membajak penyedot debu robot yang rentan untuk mengolok-olok orang (dan lebih buruk lagi) telah terlihat di alam liar. Baca terus untuk detailnya…
Cara kerja penyedot debu robot
Mari kita mulai dengan fakta bahwa robot vakum modern adalah komputer beroda lengkap, biasanya berjalan di Linux. Muncul dengan prosesor ARM multi-core yang kuat, sejumlah besar RAM, flash drive yang besar, Wi-Fi, dan Bluetooth.
Penyedot debu robot saat ini adalah komputer beroda yang lengkap Sumber
Dan tentu saja, robot vakum modern memiliki sensor di mana-mana: inframerah, lidar, gerak, kamera (seringkali masing-masing beberapa), dan beberapa model juga memiliki mikrofon untuk kontrol suara.
Ecovacs DEEBOT X1 tidak hanya memiliki kamera, namun juga serangkaian mikrofon Sumber
Dan tentu saja, semua penyedot debu robot modern selalu online dan terhubung ke infrastruktur cloud vendor. Dalam kebanyakan kasus, mereka banyak berkomunikasi dengan cloud ini — mengunggah tumpukan data yang dikumpulkan selama operasi.
Kerentanan pada penyedot debu robot Ecovacs dan mesin pemotong rumput
Laporan pertama tentang kerentanan pada penyedot debu robot dan mesin pemotong rumput Ecovacs muncul pada Agustus 2024, ketika peneliti keamanan Dennis Giese (dikenal dengan meretas penyedot debu robot Xiaomi) dan Braelynn Luedtke memberikan ceramah di DEF CON 32 pada rekayasa balik dan peretasan robot Ecovacs.
Ecovacs GOAT G1 juga dapat dilengkapi dengan GPS, LTE, dan modul Bluetooth jarak jauh Sumber
Dalam pembicaraan mereka, Giese dan Luedtke menjelaskan beberapa metode untuk meretas penyedot debu robot Ecovacs dan aplikasi seluler yang digunakan pemilik untuk mengendalikannya. Secara khusus, mereka menemukan bahwa calon peretas dapat mengakses umpan dari kamera dan mikrofon yang ada di dalam robot.
Hal ini dimungkinkan karena dua alasan. Pertama, jika aplikasi digunakan pada jaringan yang tidak aman, penyerang dapat mencegat token autentikasi dan berkomunikasi dengan robot. Kedua, meskipun secara teori kode PIN yang ditetapkan oleh pemilik perangkat mengamankan umpan video, dalam praktiknya kode tersebut diverifikasi di sisi aplikasi — sehingga dapat dilewati.
Kode PIN untuk mengamankan umpan video dari penyedot debu robot Ecovacs diverifikasi di sisi aplikasi, sehingga membuat mekanismenya sangat rentan Sumber
Para peneliti juga berhasil mendapatkan akses root ke sistem operasi robot. Mereka menemukan adanya kemungkinan untuk mengirimkan muatan berbahaya ke robot melalui Bluetooth, yang pada beberapa model Ecovacs akan menyala setelah reboot terjadwal, sementara pada model lain akan menyala sepanjang waktu. Secara teori, enkripsi seharusnya melindungi terhadap hal ini, namun Ecovacs menggunakan kunci statis yang sama untuk semua perangkat.
Berbekal pengetahuan ini, penyusup bisa mendapatkan hak akses root pada sistem operasi robot Ecovacs yang rentan dan meretasnya pada jarak hingga 50 meter (~165 kaki) — dan itulah yang dilakukan para peneliti. Sedangkan untuk mesin pemotong rumput robot, model ini dapat diretas pada jarak lebih dari 100 meter (~330 kaki), karena memiliki kemampuan Bluetooth yang lebih kuat.
Selain itu, seperti telah disebutkan, penyedot debu robot saat ini adalah komputer berbasis Linux yang lengkap, dan Anda dapat melihat bagaimana penyerang dapat menggunakan satu robot yang terinfeksi sebagai sarana untuk meretas robot lain di dekatnya. Secara teori, peretas bahkan dapat membuat worm jaringan yang secara otomatis menginfeksi robot di mana pun di dunia.
Kerentanan Bluetooth pada robot Ecovacs dapat menyebabkan rantai infeksi Sumber
Giese dan Luedtke memberi tahu Ecovacs tentang kerentanan yang mereka temukan, namun tidak mendapat tanggapan. Perusahaan memang mencoba untuk menutup beberapa lubang, kata para peneliti, tetapi tidak berhasil dan mengabaikan kerentanan yang paling serius.
Bagaimana penyedot debu robot Ecovacs benar-benar diretas
Tampaknya perbincangan DEF CON membangkitkan minat yang besar dalam komunitas peretas — sedemikian rupa sehingga seseorang tampaknya telah mengambil langkah lebih jauh dan menerapkannya pada penyedot debu robot Ecovacs di dunia nyata. Menurut baru-baru ini laporanpemilik di beberapa kota di AS telah diserang oleh peretas dan menderita pelecehan dari pelayan robot mereka.
Dalam satu insiden di Minnesota, Ecovacs DEEBOT X2 mulai bergerak sendiri dan mengeluarkan suara-suara aneh. Karena khawatir, pemiliknya membuka aplikasi Ecovacs dan melihat seseorang mengakses umpan video dan fitur kendali jarak jauh. Menganggapnya sebagai kesalahan perangkat lunak, dia mengubah kata sandi, menyalakan ulang robot, dan duduk di sofa untuk menonton TV bersama istri dan putranya.
Namun robot tersebut langsung hidup kembali – kali ini terus-menerus melontarkan hinaan rasial dari speakernya. Karena tidak tahu harus berbuat apa, pemiliknya mematikan robot tersebut, membawanya ke garasi dan meninggalkannya di sana. Meski mengalami cobaan berat, dia bersyukur kehadiran para peretas begitu kentara. Lebih buruk lagi, katanya, jika mereka secara diam-diam memantau keluarganya melalui robot tanpa mengungkapkan diri mereka.
Membajak umpan video langsung dari penyedot debu robot Ecovacs Sumber
Dalam kasus serupa, kali ini di California, Ecovacs DEEBOT X2 lainnya mengejar seekor anjing di sekitar rumah dan kembali meneriakkan kata-kata kotor. Dan kasus ketiga dilaporkan dari Texas, di mana, seperti yang Anda duga, robot penyedot debu Ecovacs berjalan-jalan dan melecehkan pemiliknya.
Jumlah pasti peretasan penyedot debu robot Ecovacs tidak diketahui. Salah satu alasannya, yang disinggung di atas, adalah bahwa pemiliknya mungkin tidak menyadarinya: para peretas mungkin diam-diam mengamati kehidupan sehari-hari mereka melalui kamera yang ada di dalamnya.
Bagaimana cara mencegah peretasan vakum robot?
Jawaban singkatnya adalah: Anda tidak bisa. Sayangnya, tidak ada metode universal untuk melindungi terhadap peretasan vakum robot yang mencakup semua aspek. Untuk beberapa model, secara teori, ada opsi untuk meretasnya sendiri, mendapatkan akses root, dan memutuskan tautan mesin dari cloud vendor. Namun ini adalah prosedur yang rumit dan memakan waktu sehingga rata-rata pemilik tidak akan mempertimbangkan untuk mencobanya.
Masalah serius dengan perangkat IoT adalah banyak vendor, sayangnya, masih kurang memperhatikan keamanan. Dan mereka seringkali memilih untuk tidak melakukan apa-apa – bahkan menolak memberikan tanggapan kepada peneliti yang membantu melaporkan masalah tersebut.
Untuk mengurangi risiko, coba lakukan riset sendiri mengenai praktik keamanan vendor yang bersangkutan sebelum membeli. Beberapa sebenarnya melakukan pekerjaan yang cukup baik dalam menjaga keamanan produk mereka. Dan, tentu saja, selalu instal pembaruan firmware: versi baru biasanya menghapus setidaknya beberapa kerentanan yang dapat dieksploitasi peretas untuk mendapatkan kendali atas robot Anda.
Dan perlu diingat bahwa robot yang terhubung ke Wi-Fi rumah, jika diretas, dapat menjadi landasan serangan terhadap perangkat lain yang terhubung ke jaringan yang sama — ponsel cerdas, komputer, smart TV, dan sebagainya. Jadi, selalu merupakan ide bagus untuk memindahkan perangkat IoT (khususnya, penyedot debu robot) ke jaringan tamu, dan memasangnya perlindungan yang andal di semua perangkat jika memungkinkan.