Entrar a decenas de edificios de departamentos en cinco minutos con un celular

• Hace unos meses, el autor pasó junto a un edificio de departamentos con un panel de control de acceso interesante mientras iba a tomar el SeaBus.
• Anotó la marca "MESH by Viscount" y empezó a buscar información con su celular.

Parte 0: Exploración

• Al buscar en Google el nombre del sistema, encontró una página de ventas que promocionaba funciones TCP/IP para programar y dar mantenimiento al sistema de forma remota.
• Al buscar "mesh by viscount" filetype:pdf, encontró una guía de instalación que explicaba que las credenciales predeterminadas debían cambiarse, pero no incluía instrucciones sobre cómo hacerlo.
• Descubrió que el título de la página de inicio de sesión de la interfaz web era "FREEDOM Administration Login".

Parte 1: Filtración de datos personales

• Exponer los paneles a internet es una mala idea, pero fue posible acceder al sistema con las credenciales predeterminadas.
• En la sección de usuarios, se podían ver los nombres completos de los residentes vinculados con sus números de unidad, y la dirección del edificio se usaba como título del sitio.
• En la sección de eventos, se podían revisar registros de acceso asociados con números de unidad específicos.
• La sección de usuarios también exponía los números de teléfono de todos los residentes.

Parte 2: Intrusión

• Además de la filtración de datos personales, era posible acceder a la sección de áreas controladas para registrar nuevos FOB de acceso o desactivar los existentes.
• Con la función de override, se podía desbloquear cualquier puerta de acceso.

Parte 3: ¿Qué tan extendido está?

• Para comprobar si que las credenciales predeterminadas funcionaran en el primer resultado había sido solo suerte, usó ZoomEye para escanear más sistemas.
• Usó una plantilla de Nuclei para verificar la vulnerabilidad de los sistemas.
• Encontró un total de 89 resultados, y el 43% de los sistemas expuestos en ZoomEye durante el último año eran vulnerables.
• La mayoría de los sistemas expuestos estaban ubicados en Canadá.

Cronología

• 2024-12-20: Descubrimiento de la vulnerabilidad
• 2024-12-27: Contacto con Hirsch, proveedor actual de MESH
• 2025-01-09: Contacto con el CEO de Identiv, proveedor anterior de MESH
• 2025-01-11: El equipo de seguridad de producto de Hirsch pidió detalles y preguntó si había planes de avisar a los clientes
• 2025-01-29: Hirsch respondió que los sistemas vulnerables eran aquellos en los que no se había cambiado la contraseña predeterminada
• 2025-01-30: Se solicitó una actualización sobre si se había avisado a los clientes que operan sistemas vulnerables (sin respuesta hasta el momento de la publicación)
• 2025-02-14: Asignación de CVE-2025-26793
• 2025-02-15: Publicación

[GN⁺]

Opinión de Hacker News

• Iba con un repartidor de Amazon camino a una comunidad cerrada para visitar a un amigo. No sabíamos el código de acceso de la reja, pero él era repartidor de Amazon

  • "A ver si puedo hacernos entrar", dijo, se bajó del auto, miró el panel de acceso e ingresó algunos números; la reja se abrió
  • Muchas comunidades cerradas y complejos de departamentos piden cosas por Amazon y otros servicios de entrega, pero no les dan a los repartidores una forma de entrar. Al final, un repartidor frustrado por el código escribe el código junto al panel de acceso para que cualquiera lo use
  • "Los departamentos son terribles", dijo, y agregó: "Los campus universitarios son el dolor de nuestra existencia. Uno pensaría que los universitarios serían inteligentes con estas cosas, pero son los peores"

• Si estoy leyendo esto correctamente, se trata de las áreas "comunes" del edificio, no de la puerta de una suite o departamento en sí. Hay una gran diferencia entre tener acceso a una y a la otra

• Hirsch responde que estos sistemas vulnerables no siguen las recomendaciones del fabricante de cambiar la contraseña predeterminada

  • La recomendación del fabricante no es aceptable. Debería exigirse una contraseña de seguridad no predeterminada antes de poner el sistema en uso

• En SF, una vez alguien descubrió el código de acceso de administrador de unos intercomunicadores viejos de departamentos (supuestamente fabricados por Linear y otras empresas). Estos intercomunicadores llamaban a un número telefónico programado cuando en la puerta se ingresaba el código de acceso de un departamento

  • Entonces agregaron a un inquilino falso con un número premium 1-900 y usaron el intercomunicador para hacer llamadas y ganar un poco de dinero. Naturalmente, los arrendadores terminaban pagando la cuenta

• La seguridad de Viscount es ridículamente mala. Cuando vivía en Toronto, vivía en un edificio que controlaba el acceso con llaveros infrarrojos de Viscount. No era más seguro que un control remoto de TV; no tenía código rodante ni cifrado. Un atacante podía sentarse cerca y recolectar los códigos de los llaveros de todos con un receptor IR para acceder a todos los pisos

  • Ni hace falta decir que me mudé

• 2025-01-29: Hirsch responde que estos sistemas vulnerables no siguen las recomendaciones del fabricante de cambiar la contraseña predeterminada

  • Ah, claro. Los que están mal son los niños

• Siempre me he preguntado: ¿cómo llega todo a Google? ¿La gente envía el enlace o basta con que enlaces públicos apunten a eso?

• Después de ver muchas series de TV, mi esposa, que no es técnica, llegó a la conclusión de que los sistemas reales son fáciles de hackear: solo tienes que usar 'omitir contraseña', 'ignorar contraseña' o 'contraseña' como contraseña

  • Parece que casi tiene razón

• Nos reímos al ver en películas de Hollywood cuando el protagonista le dice a su amigo hacker: "Haz que entre a este edificio. Rápido." y el amigo responde: "Espera. Listo." ¡clic! la puerta se abre

• Cómo entrar a un edificio de departamentos en 30 segundos, sin teléfono:

  • Ponte junto al intercomunicador con una bolsa de papel café (de reparto de comida) y finge presionar botones. Cuando alguien entre o salga, síguele el paso y di "gracias". Nueve de cada diez veces te abrirán la puerta