Onderzoekers ontdekken diverse veiligheidslekken in Holy Stone drones

Uit een recent onderzoek blijkt  dat verschillende populaire drones van het budgetmerk Holy Stone kwetsbaarheden vertonen op het gebied van veiligheid, connectiviteit en databeveiliging. De fabrikant heeft zich gepositioneerd als een betaalbaar alternatief voor premium merken zoals DJI en Autel Robotics, maar uit het onderzoek blijkt dat die lagere prijs mogelijk ten koste gaat van de beveiliging.

Kwetsbaarheden in diverse modellen

Onderzoekers van het Florida Institute of Technology hebben meerdere cyberaanvallen gesimuleerd en forensische analyses uitgevoerd op diverse Holy Stone drones, waaronder de sub-250-gram modellen HS175D, HS430 en HS360S, en de zwaardere HS720. Hieruit kwamen verschillende ernstige kwetsbaarheden naar voren.

Een van de meest kritieke ontdekkingen betreft de aanwezigheid van een open Telnet-service in de HS720 en HS175D modellen. Telnet is een onbeveiligd communicatieprotocol dat aanvallers in staat stelt root-toegang tot het systeem van de drone te verkrijgen. Hierdoor kunnen hackers de besturing van de drone overnemen, de Wi-Fi-verbinding verstoren en zelfs de drone-app uitschakelen. Dit kan leiden tot een volledig verlies van controle over het toestel.

De HS175D, die live videostreaming ondersteunt, bevat een kwetsbaarheid in het Real-Time Streaming Protocol (RTSP). Het probleem ligt in de manier waarop de drone de RTSP-link uitwisselt met de mobiele applicatie. Kwaadwillenden kunnen deze verbinding onderscheppen en ongeoorloofde toegang krijgen tot de live videofeed, wat serieuze gevolgen kan hebben voor de privacy van gebruikers.

Een andere zorgwekkende kwetsbaarheid in de HS175D is de mogelijkheid tot authenticatie-omzeiling. Uit het onderzoek blijkt dat deze drone kan worden bestuurd met apps van andere merken, zoals Bwine en Ruko MINI. Deze applicaties kunnen zonder enige vorm van verificatie verbinding maken met de drone, waardoor onbevoegden binnen het bereik de besturing kunnen overnemen.

Ping of Death-aanval

Naast beveiligingslekken die directe controle over de drone kunnen opleveren, identificeerden de onderzoekers ook kwetsbaarheden die de werking van de drones ernstig kunnen verstoren. De zogeheten “Ping of Death”-aanval, waarbij grote of foutieve ICMP-pakketten naar het systeem worden gestuurd, bleek effectief tegen de HS175D, HS430 en HS720. De aanval kan de software van de drone laten crashen, waardoor het toestel midden in de vlucht kan uitvallen.

Daarnaast zijn de onderzochte modellen gevoelig voor een 802.11 de-authenticatie-aanval. Dit houdt in dat een aanvaller de drone kan dwingen de verbinding met de afstandsbediening of mobiele app te verbreken, wat een totale controle-uitval tot gevolg kan hebben.

Deze kwetsbaarheden hebben ingrijpende gevolgen voor de betrouwbaarheid en veiligheid van Holy Stone drones. De onderzoekers wijzen erop dat de onveilige RTSP-verbinding het mogelijk maakt om zonder toestemming mee te kijken met de videostream van de drone. De authenticatie-omzeiling stelt kwaadwillenden in staat om zonder toestemming controle over de drone te krijgen.

Daarnaast kunnen aanvallen zoals de “Ping of Death” en 802.11 de-authenticatie ervoor zorgen dat drones onbruikbaar worden of uit de lucht vallen. Hoewel Holy Stone-drones voornamelijk door hobbyisten worden gebruikt, kunnen deze problemen ook gevolgen hebben voor professionals die de drones inzetten voor inspectie- of surveillancedoeleinden.

Advies aan Holy Stone-gebruikers

Droneliefhebbers die een Holy Stone bezitten, hoeven niet direct in paniek te raken, maar het is wel verstandig om voorzorgsmaatregelen te nemen. Het is raadzaam om de firmware up-to-date te houden en regelmatig te controleren op updates om bekende beveiligingslekken te dichten. Daarnaast is het verstandig om te vliegen in open gebieden en drukke Wi-Fi-omgevingen te vermijden, omdat interferentie en mogelijke aanvallen daar vaker kunnen plaatsvinden. Ook is het aan te raden om de blootstelling van gevoelige data te beperken en geen vertrouwelijke informatie via de drone-app te versturen.