SecTor 2025 | DriveThru Hacking: Now with Delivery
三句話摘要
研究人員展示如何在車輛通過得來速的短暫窗口內，自動入侵行車記錄器、竊取影音並以 AI 分析重建駕駛人隱私。 行車記錄器的出廠預設密碼與殘缺的驗證機制，讓任何人只需靠近一台車輛數秒，便能在車主毫不知情的情況下竊取完整的行車影音並透過 AI 重建其私人生活。 出廠安全設計嚴重缺失：15/16 品牌使用相同預設密碼，4 品牌密碼完全無法修改，使用者即便有意願也無法自保，導致 65% 受測者所持裝置屬於此高風險類別。
重點整理
重點- 1
出廠安全設計嚴重缺失：15/16 品牌使用相同預設密碼，4 品牌密碼完全無法修改，使用者即便有意願也無法自保，導致 65% 受測者所持裝置屬於此高風險類別。
- 2
裝置配對機制形同虛設：廠商宣稱的「實體按鈕二次驗證」可透過 MAC 位址偽冒（ARP scan → spoof）或 MFA 疲勞攻擊（持續重播請求逼使車主按鍵）完全繞過，讓攻擊者無需接觸實體裝置即可取得完整控制權。
- 3
未驗證的上傳介面導致 Root 權限淪陷：多款型號（K、G、L）存在未認證的 HTTP 上傳端點，攻擊者可植入 CGI webshell、取得 root，進而修改韌體、植入後門、耗盡車輛電池，甚至鎖定真正車主的存取權限。
- 4
AI 管線將竊得影音轉化為情報：影片以 Whisper 並行轉錄、OpenAI 做路牌 OCR 還原行車路線、Shazam 識別背景音樂並從逐字稿中剔除，最終 LLM 彙整成人物側寫與 AI 漫畫，讓一台行車記錄器的資料足以完整剖析一個人的生活樣態。
實用技巧與重點
乾貨- 數字與規模
- 掃描超過 1,000 個 SSID（新加坡）
- 購入超過 20 台行車記錄器、涵蓋 16 個品牌
- 40 名參與者進行真實環境驗證
- 11/40（27.5%）台裝置成功被攻破
- 僅 7 台裝置更改過預設密碼
- 20 台二手機中有 5 台 SD 卡仍留有行車錄影
- 8/10 新加坡車輛裝有行車記錄器
- 品牌與工具
- 受測品牌：BlackVue、70mai、Thinkware、Iroad（已公開）；其餘以 A–Q 字母匿名
- 攻擊工具：Nmap、Wireshark、Kali Pi、ARP scan、MAC spoofing、FTP put、netcat
- AI 分析工具：OpenAI Whisper（語音轉錄）、Google Cloud Vision（OCR/路牌辨識）、Shazam（背景音樂識別）、LLM（摘要與人物側寫）、生成式 AI（漫畫生成）
- 防禦工具：自製 hostapd CLI、WAF wrapper（Layer 7）、MAC 白名單管理（Layer 2）
- 攻擊技術
- MAC 位址偽冒繞過裝置配對
- MFA 疲勞攻擊（重播「請按 Wi-Fi 鍵」請求至車主疲勞按下）
- 未認證 HTTP 上傳端點 → CGI webshell → root 提權
- Port knocking（型號 B/O：port 7777 → 7778 video + 7779 audio）
- C2 植入 4G/5G 行車記錄器透過 SIM 卡持續回傳
- 持久化方法：hook init.d S00–S99 腳本、佔用空白 daemon 路徑（如 `/usr/bin/isp_daemon`）
- 漏洞與揭露
- 4 品牌使用公有 .com 網域作內部域名（DNS 洩漏風險）；研究團隊搶先註冊該域名防止惡意使用
- 揭露給 16 家廠商；1 家有安全專用信箱；5 家接受回報；1 家透過 App 更新修補；2 家正在修復
- 已申請多個 CVE（DEF CON 現場公佈）
- 防禦模組（Blue Module）
- 透過 SD 卡載入腳本取得 root 存取（無需廠商支援）
- MAC 白名單 + 非白名單踢除日誌
- Layer 7 WAF：存取控制、頻率限制、目錄遍歷防護
- 計畫商業化為實體硬體 dongle
結論
結論“行車記錄器的出廠預設密碼與殘缺的驗證機制，讓任何人只需靠近一台車輛數秒，便能在車主毫不知情的情況下竊取完整的行車影音並透過 AI 重建其私人生活。”
完整解析
詳細行車記錄器已成為現代車輛的標準配備，新加坡約八成車輛安裝了行車記錄器，主流品牌多來自亞洲，包括 BlackVue、70mai、Thinkware 與 Iroad，並逐步打入北美市場。這些產品的競爭力建立在低成本與高影像品質上，但安全性幾乎不在消費者的考量清單中。研究團隊 Benjamin、Josh Chin 與 Shiping Tan 在新加坡掃描超過 1,000 個 SSID 後，購入 20 台以上、涵蓋 16 品牌的行車記錄器，並招募 40 名參與者進行真實環境驗證，發現這個市場存在系統性的安全漏洞。
攻擊命名為「得來速駭客攻擊」，核心概念是：攻擊者停駐在得來速車道旁，當受害車輛靠近時，全自動腳本在幾秒內完成 SSID 掃描、連線、驗證繞過、影片竊取到上傳 C2 伺服器的完整流程。16 品牌中 15 個出廠預設密碼完全相同，4 個品牌甚至不允許用戶更改密碼，形同永久開放後門。廠商宣稱的「實體按鈕二次配對驗證」也被兩種方式輕易擊破：一是透過 ARP scan 取得已配對手機的 MAC 位址後偽冒，直接獲得存取權；二是持續對行車記錄器發送配對請求，觸發裝置反覆播放語音提示直到車主因不堪其擾而按下 Wi-Fi 鍵，類似於 MFA 疲勞攻擊。部分型號（如 K、G、L）更存在未認證的 HTTP 上傳介面，攻擊者可植入 CGI webshell 取得 root 權限，進而修改韌體、植入後門、鎖定車主存取，甚至關閉電池保護讓車輛電池在隔夜停車時耗盡。針對 4G/5G 行車記錄器，研究團隊更進一步將 C2 腳本植入裝置，透過 SIM 卡的網路連線持續回傳資料，並研究了 init.d 腳本注入與空白 daemon 路徑佔用等持久化機制。
竊得的影音並非原始堆疊，而是進入一條 AI 處理管線。系統先以 Python 提取影格，用機器學習辨識路牌後交由 Google Cloud Vision OCR 讀取街道名稱，再由 LLM 推算 GPS 座標還原行車路線；音訊則以 Shazam 識別背景音樂並從 OpenAI Whisper 的逐字稿中剔除歌詞，最終由 LLM 彙整成結構化摘要，甚至生成 AI 漫畫呈現對話內容。在 40 名受測者的真實環境測試中，11 台裝置成功被攻破（27.5%），主要障礙是各台裝置的配置差異導致自動化腳本失效，而非安全設計有所改善。
防禦方面，研究團隊同步開發了「藍色模組」，透過相同的 root 取得方式，將 MAC 白名單管理工具與 Layer 7 WAF 植入行車記錄器，在不改動廠商韌體的前提下大幅提升安全性，並計畫商業化為實體 dongle。在負責任揭露方面，研究團隊通知了所有 16 家廠商，但結果令人失望：僅 1 家設有安全專用信箱，16 家中只有 1 家透過 App 更新發佈了修補，顯示整個行業在安全應變能力上嚴重不足。研究團隊已申請多項 CVE，下一階段計劃展示如何將受感染的行車記錄器組成「移動中的殭屍網路」。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
