이베이에서 자주 등장하는 저렴한 스마트워치가 백도어가 포함된 페어링 앱을 이용해 알 수 없는 중국 IP로 연결하는 것으로 알려졌습니다.

U8은 1.48" 터치스크린을 장착한 17달러 시계로, Android 또는 iOS 전화기와 블루투스로 연결해 전화를 걸거나 받을 수 있습니다. 안드로이드용 앱은 연락처, 통화 기록, 문자 기록에 접근할 수 있습니다.

MobileIron의 연구 책임자 마이클 라고(Michael Raggo, @datahiding)는 샌프란시스코에서 열린 BSides San Francisco 컨퍼런스에서 이 시계가 개인과 기업 보안에 위협이 된다고 발표했습니다. "페어링 앱의 동적 행동 분석을 실시한 결과 페어링할 경우 무작위 중국 IP로 통신을 하는 것을 발견했습니다."라고 말했습니다.

"이 IP 주소가 무엇인지는 모릅니다. 산업 스파이 측면에서, 위험의 측면에서 의심스러운 행동들이 많이 있습니다."  그는 구매자들이 U8 시계와 같이 오는 설명서에 적힌 IP 주소에서 페어링 앱을 내려받는다고 말했습니다.

그의 팀은 삼성 기어 2, 애플 워치, 모토 360도 분석했습니다. "안드로이드의 파편화를 염려하고 계시다면, 스마트워치를 한 번 봐 주십시오."라고 말했습니다.

그는 시계를 분석하고 공격할 때 유용하다고 말하면서 SWATtack 툴을 공개했습니다. 이 파이썬 툴은 스마트워치와 페어링 앱의 취약점을 식별할 수 있습니다. 이 툴을 이용해 삼성 기어 2 네오 제품의 비밀번호 잠금을 우회하고 자료를 가져올 수 있었던 것으로 나타났습니다. 이 취약점은 패치되어 해결되었습니다.

* 출처 : The Register