川金會小插曲,資安專家警告莫插不明 USB 裝置

作者 | 發布日期 2018 年 06 月 24 日 12:00 | 分類 科技趣聞 , 資訊安全 follow us in feedly

日前川金會盛大舉行也順利落幕了,然而雙贏的背後卻發生了一段小插曲──記者收到大會提供的新聞資料袋的禮物,是金正恩大頭紙扇與來源不明的 USB 迷你電扇,這引起資安專家警告,絕對不要把它插到筆電上!



這個故事始於荷蘭記者哈拉爾‧當布斯(Harald Doornbos)在 Twitter 推文與照片引發的疑慮。新加坡是個很熱的地方,室外動不動就 33 度,送個紙扇跟 USB 小電風扇看來也很合理,小小的 USB 風扇會有危害,是不是太杞人憂天了?其實這被懷疑有沒有可能暗藏「物理攻擊」。長年來資安問題的研究焦點主要落在網路攻擊,然而近幾年,非常早期的實體物理攻擊可說重新「熱門」起來,比方筆者曾分享的 Intel CPU 的 AMT 漏洞,蘋果電腦(Apple)的 MacOS 系統也被發現數項低級實體漏洞,例如任何人都可輕易取得最高 root 權限控制電腦生殺大權,只要讓攻擊者小組支開被害人後,就能直接操作被害人的電腦得逞,就跟電影演的一樣。

北韓過去人權紀錄惡名昭彰,去年國際人權基金會發起一個「用隨身碟插金正恩嘴」的活動。USB 隨身碟是北韓境內私下流傳資訊的重要媒介,許多脫北者組織努力用 USB 隨身碟存放外界的資訊偷運進北韓,因此他們需要大量隨身碟,這個活動就是要募集大家不用的隨身碟來幫助各脫北者組織,而今天這個 USB 迷你風扇難道是金正恩的反擊嗎?

▲ Flash Drives for Freedom 向大眾募集不要的 USB 隨身碟,再改造 USB 隨身碟變成滲透入北韓的資訊武器。(Source:Flash Drives for Freedom

▲ 異議份子用不同方法將資訊偷渡進北韓,圖為倡議團體在 MozFest 2016 擺攤介紹如何突破北韓資訊封鎖。(Source:科技新報)

英國薩里大學(Surrey University)資訊安全專家艾倫‧伍德沃德(Alan Woodward)教授對這個疑似北韓致贈的「小禮物」表示:「資訊安全領域有一句格言:如果你給某人得以物理操作你電腦的機會,那它將不再是你的電腦;使用一個不明來源的 USB 時,你其實也犯了一樣的錯誤。」是的,這個來路不明的 USB 裝置裡會不會藏了一個小小隨身碟,插上電腦以後就自動執行了惡意程式呢?你也可能會說,沒關係,我電腦有設定關閉隨身碟自動執行功能,這種惡意程式就拿我沒輒了吧?事情當然沒那麼簡單,有一種叫 USB 殺手的裝置會鑽 USB 標準缺乏電路保護機制的漏洞,使得 USB 一插上去,瞬間就造成電腦、手機電路板實體破壞。

說回來,究竟這個神祕小禮物是誰提供的呢?這個贈品包其實是新加坡通訊及新聞部(縮寫 MCI)提供的,而 USB 迷你風扇則是聖淘沙發展局(縮寫 SDC,隸屬新加坡貿易與工業部,是推動知名景點聖淘沙觀光活動的法人機構)提供,邏輯是認為贈送迷你風扇很好,因為可以幫助記者在新加坡炎炎夏日也能好好工作,而 MCI 和 SDC 也雙雙證實,USB 迷你風扇只是簡單的裝置,沒有儲存或運算能力。

雖是虛驚一場,平常還是要小心來源可疑的 USB 裝置,保護好自己的電腦喔(想破壞自己的手機或電腦嗎?這有販售 USB 殺手棒還有護盾喔(護盾可讓你安全檢測一支 USB 碟是不是 USB 殺手)。

(首圖來源:達志影像)

關鍵字: , , , , ,