搜索

[2859] 2016-06-03_全球5大PC制造商对黑客不设防？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2016-06-03_全球5大PC制造商对黑客不设防？ 全 球 5 大 P C 制 造 商 对 黑 客 不 设 防 ？ 原 创   E 安 全   E 安 全   2 0 1 6 - 0 6 - 0 3 包 括 M i c r o s o f t 在 内 的 软 件 制 造 商 想 方 设 法 确 保 操 作 系 统 和 应 用 程 序 更 新 的 安 全 ， 旨 在 阻 止 黑 客 劫 持 更 新 并 入 侵 用 户 电 脑 。 然 而 ， P C 硬 件 制 造 商 却 没 有 如 此 谨 慎 。 企 业 移 动 安 全 公 司 D u o   S e c u r i t y 对 五 大 热 门 的 P C 制 造 商 （ 惠 普 、 戴 尔 、 宏 碁 、 联 想 和 华 硕 ） 的 软 件 更 新 进 行 了 调 查 ， 结 果 发 现 这 五 大 备 受 追 捧 的 制 造 商 设 备 均 存 在 严 重 的 安 全 问 题 ， 可 能 允 许 攻 击 者 劫 持 更 新 进 程 并 在 受 害 设 备 上 安 装 恶 意 代 码 。 D u o   S e c u r i t y 公 司 D u o 实 验 室 的 研 究 人 员 发 现 ， 被 称 之 为 原 始 设 备 制 造 商 （ 原 始 设 备 制 造 商 （ O E M s ） 的 这 五 大 供 应 商 在 电 脑 上 预 装 了 更 新 ） 的 这 五 大 供 应 商 在 电 脑 上 预 装 了 更 新 器 ， 这 些 更 新 器 至 少 存 在 一 个 高 风 险 漏 洞 ， 这 可 能 让 攻 击 者 执 行 远 程 代 码 实 施 攻 击 器 ， 这 些 更 新 器 至 少 存 在 一 个 高 风 险 漏 洞 ， 这 可 能 让 攻 击 者 执 行 远 程 代 码 实 施 攻 击 - 远 程 运 行 任 何 想 在 系 统 上 运 行 的 远 程 运 行 任 何 想 在 系 统 上 运 行 的 恶 意 代 码 恶 意 代 码 - 并 完 全 控 制 系 统 。 并 完 全 控 制 系 统 。 原 始 设 备 制 造 商 均 存 在 不 同 程 度 的 安 全 漏 洞 ， 比 如 无 法 通 过 安 全 的 H T T P S 通 道 提 供 更 新 或 未 签 名 更 新 文 件 或 验 证 文 件 。 这 些 问 题 就 有 可 能 使 攻 击 者 在 传 输 更 新 文 件 至 电 脑 时 拦 截 更 新 文 件 ， 并 用 恶 意 文 件 替 换 。 无 论 电 脑 其 他 保 护 措 施 如 何 ， 这 些 恶 意 文 件 都 能 安 装 ， 因 为 更 新 器 在 设 备 运 行 具 有 最 高 信 任 度 和 特 权 。
报 告 称 ， 当 原 始 设 备 制 造 商 通 过 预 装 软 件 防 御 时 ， 所 有 的 桌 面 防 火 墙 以 及 安 全 浏 览 增 强 功 能 等 均 无 法 保 护 用 户 免 于 报 告 称 ， 当 原 始 设 备 制 造 商 通 过 预 装 软 件 防 御 时 ， 所 有 的 桌 面 防 火 墙 以 及 安 全 浏 览 增 强 功 能 等 均 无 法 保 护 用 户 免 于 被 攻 击 。 被 攻 击 。 许 多 制 造 商 也 未 能 执 行 清 单 文 件 的 数 字 签 名 （ 清 单 即 更 新 器 从 服 务 器 下 拉 并 安 装 的 文 件 列 表 ） 。 如 果 在 不 安 全 的 情 况 下 传 输 未 签 名 的 清 单 文 件 ， 攻 击 者 可 以 实 施 拦 截 ， 然 后 从 清 单 文 件 删 除 重 要 的 更 新 文 件 ， 阻 止 电 脑 用 户 获 取 需 要 的 更 新 或 者 将 恶 意 软 件 添 加 至 清 单 文 件 。 添 加 恶 意 软 件 在 制 造 商 未 签 名 更 新 文 件 的 情 况 下 行 之 有 效 ， 允 许 攻 击 者 鬼 鬼 祟 祟 溜 进 未 签 名 的 文 件 ， 攻 击 者 可 以 简 单 地 添 加 内 联 命 令 安 装 并 启 用 恶 意 文 件 。 以 惠 普 为 例 ， 研 究 人 员 发 现 实 际 上 他 们 可 以 在 系 统 上 通 过 清 单 文 件 里 的 内 联 命 令 执 行 任 何 管 理 级 别 的 命 令 ， 而 不 只 是 安 装 更 新 文 件 的 命 令 。 例 如 ， 攻 击 者 可 以 添 加 新 的 用 户 账 号 至 系 统 ， 这 样 一 来 ， 攻 击 者 就 可 以 持 续 访 问 系 统 。 D u o   S e c u r i t y 一 名 研 究 人 员 D a r r e n   K e m p 指 出 ， 有 无 数 种 方 法 滥 用 命 令 注 入 漏 洞 。 几 乎 任 何 管 理 员 都 可 以 执 行 ， 可 以 【 通 过 清 单 文 件 里 的 内 联 命 令 】 执 行 。 这 五 大 电 脑 制 造 商 只 是 他 们 检 查 的 抽 样 ， 但 研 究 人 员 在 报 告 中 指 出 ， 基 于 调 查 结 果 ， 其 他 制 造 商 也 不 安 全 的 可 能 性 较 大 。 然 而 ， 他 们 怀 疑 苹 果 的 更 新 器 可 能 是 锁 定 的 ， 因 为 苹 果 十 分 重 视 安 全 问 题 ， 并 且 不 在 苹 果 设 备 上 安 装 第 三 方 膨 然 而 ， 他 们 怀 疑 苹 果 的 更 新 器 可 能 是 锁 定 的 ， 因 为 苹 果 十 分 重 视 安 全 问 题 ， 并 且 不 在 苹 果 设 备 上 安 装 第 三 方 膨 胀 软 件 （ 胀 软 件 （ 膨 胀 软 件 （ 膨 胀 软 件 （ B l o a t w a r e ） ， 又 称 作 肥 胖 软 件 （ ） ， 又 称 作 肥 胖 软 件 （ f a t w a r e ） ， 是 指 在 设 备 中 预 装 的 那 些 一 般 人 根 本 用 不 到 的 花 哨 功 能 软 件 ， 这 ） ， 是 指 在 设 备 中 预 装 的 那 些 一 般 人 根 本 用 不 到 的 花 哨 功 能 软 件 ， 这 些 软 件 占 去 了 很 多 的 存 储 空 间 ， 导 致 设 备 里 没 有 空 间 安 装 真 正 想 用 的 软 件 些 软 件 占 去 了 很 多 的 存 储 空 间 ， 导 致 设 备 里 没 有 空 间 安 装 真 正 想 用 的 软 件 ） 。 ） 。 K e m p 补 充 道 ， 苹 果 采 用 的 是 围 墙 花 园 模 式 ， 用 户 只 能 获 取 苹 果 软 件 ， 因 此 在 这 方 面 他 们 有 能 力 进 行 严 格 控 制 。
当 消 费 者 购 买 电 脑 时 ， 电 脑 制 造 商 在 电 脑 安 装 更 新 工 具 将 固 件 更 新 （ 固 件 是 电 脑 上 启 动 电 脑 病 加 载 操 作 系 统 的 软 件 ） - 和 驱 动 程 式 更 新 和 更 新 提 供 给 电 脑 上 预 装 的 膨 胀 文 件 。 膨 胀 文 件 可 能 为 第 三 方 软 件 的 3 0 天 试 用 版 本 ， 也 可 能 是 原 始 设 备 制 造 商 提 供 的 特 殊 效 用 （ 增 加 电 脑 功 能 性 ） ， 也 可 能 是 用 户 上 网 时 向 用 户 浏 览 器 发 送 广 告 的 广 告 软 件 。 某 些 情 况 下 ， 更 新 器 直 接 跳 转 至 制 造 商 的 网 站 下 载 更 新 ， 但 其 他 情 况 下 ， 会 跳 转 至 第 三 方 软 件 提 供 商 的 网 站 获 取 更 新 。 研 究 人 员 发 现 这 五 大 研 究 人 员 发 现 这 五 大 P C 制 造 商 存 在 制 造 商 存 在 1 2 项 漏 洞 ， 每 个 制 造 商 至 少 存 在 一 个 允 许 执 行 远 程 代 码 的 高 风 险 漏 洞 。 某 些 情 况 项 漏 洞 ， 每 个 制 造 商 至 少 存 在 一 个 允 许 执 行 远 程 代 码 的 高 风 险 漏 洞 。 某 些 情 况 下 ， 制 造 商 出 于 不 同 的 目 的 在 设 备 上 安 装 多 个 更 新 器 ， 并 且 每 个 更 新 器 不 同 程 度 存 在 安 全 隐 患 。 下 ， 制 造 商 出 于 不 同 的 目 的 在 设 备 上 安 装 多 个 更 新 器 ， 并 且 每 个 更 新 器 不 同 程 度 存 在 安 全 隐 患 。 五 大 P C 制 造 商 中 ， 戴 尔 更 新 器 相 对 最 安 全 ， 虽 然 该 公 司 未 签 名 清 单 文 件 ， 它 通 过 安 全 的 H T T P S 通 道 发 送 清 单 文 件 和 更 新 文 件 ， 以 此 阻 止 简 单 的 拦 截 攻 击 。 D e l l   U p d a t e 也 会 验 证 文 件 是 否 签 名 以 及 签 名 证 书 是 否 有 效 。 虽 然 研 究 人 员 发 现 D e l l   F o u n d a t i o n   S e r v i c e s 的 另 一 个 最 新 版 本 的 更 新 器 存 在 问 题 ， 但 公 司 显 然 发 现 了 这 些 漏 洞 并 打 了 补 丁 。 相 比 之 下 ， 惠 普 也 表 现 不 错 。 惠 普 公 司 通 过 H T T P S 传 输 更 新 ， 同 时 也 会 验 证 更 新 ， 但 该 公 司 未 签 名 清 单 文 件 。 至 于 下 载 器 组 件 ， 虽 然 惠 普 包 含 验 证 文 件 签 名 的 过 程 ， 但 并 没 有 确 保 验 证 总 是 必 需 步 骤 。 例 如 ， 攻 击 者 可 以 将 未 签 名 的 恶 意 文 件 下 载 到 电 脑 并 提 醒 用 户 运 行 该 文 件 。 惠 普 还 存 在 重 定 向 问 题 ， 攻 击 者 可 以 趁 机 重 定 向 用 户 设 备 至 冒 充 合 法 惠 普 下 载 链 接 的 恶 意 链 接 ， 这 让 攻 击 者 易 于 下 载 恶 意 代 码 并 诱 骗 用 户 启 用 该 代 码 。
谈 到 联 想 的 安 全 问 题 ， 可 以 说 是 好 坏 参 半 。 研 究 者 调 查 了 联 想 的 两 个 更 新 器 - L e n o v o   S o l u t i o n s   C e n t e r 和 U p d a t e A g e n t 。 L e n o v o S o l u t i o n s   C e n t e r 是 经 核 实 最 安 全 的 更 新 器 ， 但 U p d a t e A g e n t 的 安 全 性 确 实 最 糟 糕 的 。 联 想 的 清 单 文 件 和 更 新 文 件 传 输 不 受 阻 碍 ， 更 新 器 也 不 验 证 文 件 签 名 。 宏 碁 会 签 名 更 新 文 件 ， 但 却 没 有 规 定 更 新 器 应 该 验 证 签 名 ， 从 本 质 上 讲 ， 签 名 就 是 摆 设 。 同 时 ， 宏 碁 也 未 签 名 清 单 文 件 ， 这 就 让 攻 击 者 可 以 将 恶 意 的 非 签 名 文 件 添 加 至 清 单 文 件 。 宏 碁 的 表 现 已 经 够 糟 了 ， 但 华 硕 更 糟 。 研 究 人 员 将 华 硕 的 更 新 器 称 之 为 “ 远 程 代 码 服 务 ” - 本 质 上 讲 ， 就 是 让 黑 客 执 行 远 程 代 码 的 内 置 服 务 。 华 硕 通 过 H T T P 传 输 未 签 名 的 清 单 文 件 ， 而 不 是 H T T P S 。 尽 管 加 密 了 清 单 文 件 ， 但 加 密 却 容 易 被 攻 破 ， 解 锁 文 件 的 密 匙 为 M D 5 “ A s u s   L i v e   U p d a t e ” 。 这 样 一 来 ， 攻 击 者 可 以 轻 易 拦 截 ， 解 锁 清 单 文 件 并 进 行 修 改 。 华 硕 的 更 新 文 件 未 经 签 名 ， 也 是 通 过 H T T P 进 行 传 输 。 研 究 人 员 发 现 ， 如 果 P C 制 造 商 以 一 贯 负 责 的 方 式 简 单 使 用 H T T P S 和 签 名 证 书 ， 这 些 制 造 商 本 可 以 改 进 漏 洞 利 用 。 安 全 立 场 不 同 ， 制 造 商 在 报 告 安 全 问 题 上 表 现 也 大 相 径 庭 。 虽 然 联 想 、 惠 普 和 戴 尔 用 自 己 的 软 件 通 过 直 接 的 渠 道 报 告 安 全 问 题 ， 但 宏 碁 和 华 硕 没 有 。 D u o   S e c u r i t y 的 研 究 人 员 不 得 不 通 过 电 子 邮 件 和 电 话 数 次 联 系 客 户 支 持 热 线 。 制 造 商 给 予 研 究 人 员 的 回 应 也 不 同 。 惠 普 已 经 对 发 现 的 最 严 重 漏 洞 打 了 补 丁 。 联 想 简 单 将 漏 洞 软 件 从 受 感 染 系 统 移 除 。 D u o   S e c u r i t y 在 四 个 月 前 就 将 问 题 报 告 给 了 制 造 商 ， 但 是 宏 碁 和 华 硕 仍 未 表 明 何 时 会 解 决 问 题 ， 也 会 表 态 是 否 会 解 决 。 D u o 实 验 室 安 全 研 究 主 管 S t e v e   M a n z u i k 称 ， 华 硕 告 诉 他 们 将 在 一 个 月 之 类 打 补 丁 ， 而 当 我 们 指 出 其 计 划 补 丁 也 存 在 漏 洞 时 ， 他 们 没 了 动 静 。 沟 通 就 这 样 戛 然 而 止 。 E 安 全 / 文   转 载 请 注 明 E 安 全 E 安 全 — — 全 球 网 络 安 全 新 传 媒 E 安 全 微 信 公 众 号 安 全 微 信 公 众 号 ：   E A Q a p p E 安 全 新 浪 微 博 安 全 新 浪 微 博 ： w e i b o . c o m / E A Q a p p E 安 全 安 全 P C 站 点 站 点 ： w w w . e a s y a q . c o m E 安 全 客 服 安 全 客 服 & 投 稿 邮 箱 投 稿 邮 箱 ： e a p p @ e a s y a q . c o m 更 多 全 球 网 络 安 全 最 新 资 讯 ， 欢 迎 关 注 E 安 全 A P P 客 户 端 。
点 击 下 方 ” 阅 读 原 文 阅 读 原 文 “ 即 可 下 载 安 装 E 安 全 a p p 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理