一週前透露，BadUSB 缺陷– 它允許您透過重新編程其韌體將任何 USB 配件轉變為惡意裝置 – 也適用於 Android 智慧型手機。昨天，即 8 月 7 日星期四，安全研究人員 Karsten Nohl 和 Jakob Lell 在 Black Hat 2014 會議上向與會者展示了基於這一驚人漏洞的一系列攻擊場景。
其中一項涉及讓 Android 手機在插入 PC 時看起來具有乙太網路介面。結果：所有網路流量都會通過智慧型手機，例如，允許駭客恢復有價值的密碼。這種詭計很難被發現。若要查看是否有問題，您必須前往網路管理員：然後您將看到第二個網路介面出現（在本例中為「網路 17」）。
研究人員表示，Android 智慧型手機組成“最簡單的攻擊平台”利用 BadUSB 漏洞。這對於銀行和線上服務來說尤其是壞消息，因為它削弱了雙重身分驗證的原則。事實上，控制了 Android 手機的駭客可以先透過將受害者的識別碼冒充網路介面來恢復受害者的識別碼。然後，透過將其偽裝成鍵盤，它可以進入帳戶，因為它也會檢索驗證碼。 3D Secure 就是雙重認證系統的一個例子，銀行用它來保護線上購買的安全。
USB 裝置可以偽裝成鍵盤這一事實非常強大，因為它允許您在 PC 上運行幾乎所有內容。因此，兩位研究人員在 Black Hat 演講中展示了 USB 金鑰安裝惡意程式碼的場景。插入 Linux 電腦後，重新編程的驅動器首先表現為它應有的儲存媒體。然後，圖示消失，我們看到一個帶有 Shell 命令的視窗短暫打開：鑰匙剛剛變成了 USB 鍵盤！
Karsten Nohl 和 Jakob Lell 也示範了複製原理：重新編程的金鑰首先透過偽裝成鍵盤來感染 Windows PC。然後，當插入另一個鑰匙時，電腦依序重新編程。 “其他情況也是可能的 »，他們解釋道，並給出了一些想法：更新 BIOS、隱藏按鍵上的資料、篡改顯示器等。
針對 BadUSB 缺陷幾乎沒有任何補救措施。「只有一種方法可行，那就是讓 USB 裝置的韌體無法更新。這是有可能的，但據我們所知，沒有供應商這樣做。，指定卡斯滕·諾爾。即使他們現在開始這樣做，也需要時間來更換所有現有庫存。「這個缺陷將繼續存在。十年後她還會在這裡”，研究人員估計。不太令人鼓舞。
另請閱讀：
