警惕!BlueBorne漏洞将会感染更多蓝牙设备

信息化观察网
编译
在Armis爆出蓝牙漏洞BlueBorne的一年之后,很多安卓、Linux和iOS设备都未对这一漏洞进行修复。 在安全供应商Armis爆出9个可被利用的蓝牙漏洞一年之后,又有20亿台设备——包括数亿台安卓和iOS智能手机&...

在Armis爆出蓝牙漏洞BlueBorne的一年之后,很多安卓、Linux和iOS设备都未对这一漏洞进行修复。

在安全供应商Armis爆出9个可被利用的蓝牙漏洞一年之后,又有20亿台设备——包括数亿台安卓和iOS智能手机——仍然会受到这一威胁。

Armis将去年9月份爆出的漏洞统称为BlueBorne,并将其描述为攻击者完全控制蓝牙设备的攻击媒介。同时,该公司预计,还有50亿台带蓝牙功能的产品都受到了影响,包括笔记本电脑、手机、智能手表和智能电视等。

自那以后,很多产品的供应商都发布了补丁和软件升级来解决这一漏洞。

但是Armis预计至少还有20亿台设备仍然会受到和去年一样的漏洞攻击。

该公司在周四的一篇报告指出,将近一半的受感染设备(约为9.95亿台)都是安卓设备,且运行了安卓6.0或者更低的版本,另外7.68亿台设备运行的都是未修复漏洞或者无法修复漏洞的Linux版本,2亿台设备运行了各个版本的Windows,并有5000万台是iOS设备。

“仍然有很多设备受到了去年BlueBorne漏洞的影响,这并不奇怪,”Armis研究部门的副总裁Ben Seri说道:“当我们首次公开了BlueBorne漏洞时,我们就知道解决这一漏洞有两个主要的挑战。”

其中一个就是很多受到影响的设备都从未进行修复,如旧版、不再提供支持的安卓和iOS设备,这个风险会一直存在,除非你把这些设备都扔掉。同样地,很多运行Linux的系统都难以修复或者不可能进行修复,如工业设备和医疗设备。

“另一个挑战是设备供应商、运营商和企业都需要时间来部署修复漏洞的补丁。谷歌、微软和Linux等都很快发布了漏洞补丁,但是其他的生态系统并未发布相应的补丁。”Seri说道。

当在Windows、安卓、Linux和iOS 10之前的版本中启用蓝牙时,BlueBorne漏洞就会存在。这一漏洞能够让攻击者完全控制受到感染的设备、窃取数据、在设备上安装恶意软件,以此来发动中间人攻击,并监视用户。

无线攻击

Armis表示,BlueBorne的攻击方式是无线攻击,利用一台被感染的设备,通过无线将恶意软件扩散到其它设备。为了利用感染BlueBorne的设备,攻击者并不需要将他们自己的设备和目标设备进行配对,也不需要将目标设备设置为隐藏模式。

Seri说道:“无线攻击能够带来新的、无接触的攻击能力。”同传统方式不同的是,用户并不需要点击链接或者下载文件来激活攻击。“通过无线的方式在设备和设备之间传播,能够让攻击更具感染性,并且也不需要花什么精力。”

他表示,这种漏洞也能够让攻击者绕开冷存储的内部网络,例如在一些关键的基础设施以及工业系统设备中发现的内部网络。

尽管易受感染的系统有很多,但是并没有任何证据表明攻击者利用了这些漏洞来发动和Armis警告的一样的攻击。但是缺乏证据并不意味着攻击者不会利用BlueBorne漏洞。

“如果攻击者使用了无线攻击,如BlueBorne,那么这个怎么检测出来?”Seri问道:“并不会有日志显示在终端安全产品、防火墙和网络安全产品中发生了蓝牙攻击。”

他说:“在很多企业中,蓝牙都是完全无法监控的,因此对于攻击者来说,使用BlueBorne来攻击或许会是一种攻击途径,因为雷达完全无法检测到。”

由于Armis爆出了BlueBorne,其他的一些供应商也上报了蓝牙中的漏洞,包括Zimperium、以色列理工学院和腾讯。

对于企业来说,这种漏洞突出了仅仅依赖设备生产商和运营商来解决堆栈在他们产品中的操作系统和软件漏洞的局限性。Seri表示,重要的是,我们要注意到BlueBorne影响的不仅仅是物联网设备和Amazon Echos(亚马逊智能音箱),而且也影响了带有蓝牙功能的设备,如台式电脑、笔记本电脑以及服务器等。

理论上来说,任何经过网络认证的设备都会受到影响,并且攻击者也能够渗透到企业的内部。

“企业应该知道他们所使用的互联设备的位置,不管设备有没有经过批准,并且要能够追踪他们的行为并取得控制权来防止攻击。”Seri说道。

Tripwire安全研发董事Lamar Bailey补充道:“企业必须意识到任何新的通讯方式或者协议一直都是攻击目标,并且也要做好蓝牙漏洞受到攻击的准备。”

只要在部署更新之前进行彻底的测试,那么自动更新(当可用的时候)就是为已知安全漏洞打补丁最佳方式。“任何推送更新并扼杀旧版本设备的供应商或者提供商都不会有好的口碑,并且也会对他们的财政状况产生影响。”Bailey说道。

原文作者:Jai Vijayan

THEEND