黑客可瞬间劫持行车记录仪，并将其作为后续攻击的攻击工具

HackerNews 编译，转载请注明出处：

行车记录仪已成为全球驾驶员的必备设备，在发生交通事故或道路纠纷时，它能充当可靠的证据留存工具。

但新加坡网络安全研究团队在2025年安全分析师峰会上公布的研究结果显示，攻击者可绕过设备的身份验证机制，获取其中存储的高清视频片段、音频记录以及精准的GPS数据。

研究详情

此次研究以热门品牌Thinkware的行车记录仪为切入点，共对来自约15个品牌的24款行车记录仪展开了检测。

研究发现，多数行车记录仪即便未搭载蜂窝网络通信模块，也配置了内置Wi-Fi。用户可通过手机应用实现设备与手机的配对。

但这种联网特性恰好留下了较大的攻击空间，网络不法分子可借此远程下载设备中存储的数据。

卡巴斯基实验室的安全研究人员还指出，多数型号的行车记录仪采用硬编码默认密码，且硬件架构高度相似，这一缺陷使其极易成为黑客大规模攻击的目标。

一旦成功接入行车记录仪，攻击者便能获取其搭载的 ARM处理器的访问权限。该处理器运行着精简版Linux系统。这一突破为攻击者打开了方便之门，使其得以运用多种已验证有效的攻击手段 —— 这类手段此前在物联网设备攻击中极为常见。

身份验证绕过手段

研究人员发现了攻击者绕过厂商身份验证的多种方式，具体如下：

1. 直接文件访问：黑客可直接发起视频下载请求，无需验证密码。因为设备的网络服务器仅在主入口处核验用户身份凭证；
2. 媒体访问控制地址伪造：攻击者可拦截并复制行车记录仪主人的手机设备标识；
3. 重放攻击：先录制设备与手机间正常的无线网络通信数据，待后续时机成熟时再利用这些数据实施攻击。

蠕虫式传播攻击风险

最值得警惕的是，研究人员测试得出这类攻击具备蠕虫式传播能力。

他们编写的恶意代码可在已被入侵的行车记录仪上直接运行，当被劫持设备的车辆与周边车辆以相近车速行驶时，受感染的行车记录仪会自动攻击附近车辆上的行车记录仪。

在城市环境中，一个能尝试多种密码组合与攻击方式的恶意程序，大约可成功入侵四分之一的行车记录仪。

攻击者获取这些设备中的数据后，能实现对车辆行驶轨迹的全程追踪、车内对话监听以及乘车人员身份识别。

通过提取全球定位系统的元数据、识别道路标识上的文字信息，并借助 OpenAI 模型转写音频内容，攻击者可生成详尽的行程报告。

再结合对用户行为模式的分析，就能精准锁定受害者的真实身份，彻底破解其匿名保护状态。

消息来源：cybersecuritynews；

本文由 HackerNews.cc 翻译整理，封面来源于网络；

转载请注明“转自 HackerNews.cc”并附上原文