資安業者：USB控制晶片不設防，小心USB裝置變邪惡！

德國的資安業者SRLabs發現到透過改寫USB控制器就可以讓USB裝置從善良變邪惡，並將於下周在拉斯維加斯舉行的黑帽（Black Hat）會議上展示相關的概念式驗證攻擊。

SRLabs指出，市場上非常普及的USB裝置潛藏的安全風險可能超乎外界的想像，駭客只要竄改可程式化的USB控制晶片，就能把各種USB裝置變成邪惡裝置（BadUSB）。

USB為一攸關通訊與連結的產業介面標準，可讓個人電腦連結涵蓋鍵盤、印表機、滑鼠、隨身碟等各種電腦周邊，或是智慧型手機、遊戲機等裝置。

SRLabs表示，USB用途的多樣化也成為它的致命傷，因為各種類別的裝置都可嵌入同樣的介面，意味著其中一種裝置可能會在使用者未察覺的情況下轉變成另一種惡意裝置。

SRLabs說明，要把某種USB周邊裝置變成另一種裝置，只要改寫USB控制晶片程式即可。然而，包括隨身碟在內的多數裝置中的USB控制晶片都未針對內含的程式進行保護。

在重寫USB控制晶片程式後，當然也可以讓USB裝置從善良變邪惡。而邪惡的方式也有很多種，例如讓USB裝置模擬鍵盤，直接於電腦上輸入命令或安裝惡意程式，還能感染連結於該台電腦的其他USB裝置中的控制晶片，或是偽裝成網路卡並改變個人電腦的DNS設定以控制網路的流向，此外，被竄改過的隨身碟或外接硬碟可在電腦開機時就植入惡意程式。

現階段對相關風險並沒有有效的防範機制，因為防毒軟體無法存取USB裝置中的韌體，也沒有能封鎖特定裝置類別的USB防火牆，系統亦無從察覺使用者所插入的裝置是否為真正的裝置。更嚴重的是，在使用者的個人電腦因這些邪惡裝置而受到惡意程式的感染時，即使重新安裝作業系統也無法解決USB裝置在開機時的感染問題，而且包括隨身碟或視訊攝影機等USB裝置可能也早就受到感染，形成無窮的病毒迴圈。（編譯/陳曉莉）