你在动感单车上挥汗如雨，单车可能正在监控你……

当你在健身房的智能动感单车上挥汗如雨时，大多不会注意到旁边人来人往，更不会注意到有人往单车的接口上插入一个 USB设备，把单车变成监控工具，获取每一个踩上单车的人的运动数据。这并非什么电影剧情，而是实实在在可能发生的安全问题，主要原因是，动感单车联网了……

近日，McAfee ATR 研究团队公开了一项研究成果：知名运动品牌 Peloton 旗下的动感单车存在漏洞，可以被攻击者入侵，获取单车操作系统的控制权限、执行各种命令，进而获取用户敏感数据以及窃听、监控用户等。

Peloton 是知名居家健身品牌，主打动感单车、跑步机等器械，会员数已经超过 440 万，连美国总统拜登都是忠实用户。Peloton 的动感单车接有联网中控屏，能记录运动数据、控制操作系统，还带有麦克风、摄像头等，方便用户查看健身课程、获取定制的运动方案。

2021 年初，拜登入主白宫时，曾想把心爱的 Peloton 单车一起搬进去，却被安全专家阻拦。原因正是 Peloton 的这些配置会带来窃听等安全隐患。

整个 Peloton 单车的联网设备使用的是 Android 系统。在研究正式开始之前，研究团队决定先采用常规方法将整个系统备份。

为确保 Android 上使用的镜像文件可被信任、未被植入rootkit或其他恶意程序，Android 在设计中加入了Android verified boot（AVB）验证机制。如果想在 Android 手机或平板电脑上刷机或安装第三方镜像文件，需要启用 OEM 解锁，利用密码、PIN或生物验证等方式解锁。此时，AVB 会将 Android 设备中的应用、文档和密码等资料全部删除以确保安全。

一般来说， Android 的简化启动过程如下：

在上图任一阶段如果检测到修改过的代码，启动过程就会中止；如果任一阶段发现设备已经解锁，也会警告用户镜像未经过验证，提醒用户选择中止启动。因此，要想成功备份，就必须解锁设备，而一旦解锁，就会让单车处于“被篡改”状态。

最终，McAfee ATR 团队决定寻找其他办法备份，他们尝试启动一个通用的 TWRP 恢复映像，结果发现在尝试启动自定义镜像时，Peloton 使用的系统没有验证设备是否已经解锁。

基于这个意想不到的发现，他们对 Peloton 的所有 APK 进行逆向并找到了 OTAConfig.json 文件，提取到 OTA 更新的内容，获取到有效 boot.img 文件。最终，利用 Magisk 程序修改了 boot.img 文件，让系统无法发现篡改，直接执行修改后的命令。

在研究过程中，研究团队在 USB 密钥中预装含有恶意代码的启动镜像文件，插入动感单车接口即可启动恶意代码，获取控制权限，控制整个操作系统，任意安装、运行任何程序，或者修改文件、添加后门以便远程访问。利用伪装成音频、视频播放器的的钓鱼软件，可以获取用户输入的账号密码。当然，利用获取的权限，还可以获取单车与各种云端服务及数据库之间的通信信息。

由于无需解锁就能执行这些操作，设备上不会留下任何恶意访问的痕迹，用户也毫不知情。研究团队提交了漏洞详情（CVE-2021-33887），确认所有 Peloton TTR01 到 PTV55G 型号的单车都可能受到影响。

部分 Peloton 单车的分布区域

这不是 Peloton 第一次被发现漏洞了。5 月份，Pen Test Partners 安全研究员 Jan Masters 发现 Peloton 的 API 存在漏洞，在未经身份验证的情况下，可以获取用户私人数据（如年龄、性别、城市、体重、锻炼数据、生日等）。目前，两个漏洞都已经修复。

手机、电脑等设备经过多年的发展，安全性已经逐渐提升。但联网健身设备依然存在各类安全隐患，连规模这么大的  Peloton 都难以幸免。这一次是动感单车，下一次，说不准是跑步机还是椭圆机。不过，如果你根本不用这些器械，也许就不用担心文中提到的问题，而是要看紧自己的手环和手机……

参考来源：

https://www.mcafee.com/blogs/other-blogs/mcafee-labs/a-new-program-for-your-peloton-whether-you-like-it-or-not/?hilite=%27Peloton%27