研究人員 后門機制仍然活躍的設(shè)備使用海賽龍芯片

俄羅斯安全研究員Vladislav Yarmak今天公布了他在自己的硅片中發(fā)現(xiàn)的后門機制的細(xì)節(jié)，全球數(shù)百萬智能設(shè)備都在使用這種后門機制，比如安全攝像頭、dvr、NVRs等。

固件修復(fù)目前不可用，因為Yarmak沒有向HiSilicon報告這個問題，理由是對供應(yīng)商缺乏信任，無法正確修復(fù)這個問題。

今天早些時候，Yarmak在Habr上發(fā)布了一份詳細(xì)的技術(shù)報告，其中安全研究員表示，后門機制實際上是四個較老的安全漏洞/后門的混合體，這些漏洞/后門最初是在2013年3月、2017年3月、2017年7月和2017年9月被發(fā)現(xiàn)并公之于眾的。

Yarmak說:“很明顯，這些年來，HiSilicon不愿或沒有能力為這個后門提供足夠的安全修復(fù)，順便說一句，這個后門是故意實施的?！?/p>

Yarmak說，可以通過TCP端口9530向使用HiSilicon芯片的設(shè)備發(fā)送一系列命令來利用后門。

這些命令將在易受攻擊的設(shè)備上啟用Telnet服務(wù)。

Yarmak說，一旦Telnet服務(wù)啟動并運行，攻擊者就可以使用下面列出的6個Telnet憑據(jù)之一登錄，并獲得對一個根帳戶的訪問權(quán)，從而完全控制一個易受攻擊的設(shè)備。

這些Telnet登錄在前幾年被發(fā)現(xiàn)是硬編碼在HiSilicon芯片固件中，但是盡管有公開的報告，Yarmak說供應(yīng)商選擇保持它們的完整性，而禁用Telnet守護(hù)進(jìn)程。

因為Yarmak不打算向HiSilicon報告該漏洞，所以固件補丁不可用。相反，安全研究人員創(chuàng)建了概念驗證(PoC)代碼，用于測試“智能”設(shè)備是否運行在HiSilicon系統(tǒng)芯片(SoC)之上，以及SoC是否容易受到攻擊，從而啟用Telnet服務(wù)。

如果一個設(shè)備被發(fā)現(xiàn)是易受攻擊的，在他的Habr文章中，這位俄羅斯研究員堅持設(shè)備所有者應(yīng)該丟棄并更換設(shè)備。

Yarmak說:“考慮到之前針對該漏洞的虛假修復(fù)(實際上是后門)，指望供應(yīng)商為固件提供安全修復(fù)是不現(xiàn)實的?！薄斑@類設(shè)備的用戶應(yīng)該考慮換一種替代產(chǎn)品?！?/p>

在設(shè)備所有者負(fù)擔(dān)不起新設(shè)備的價格的情況下，Yarmak建議用戶“應(yīng)該完全限制對這些設(shè)備的網(wǎng)絡(luò)訪問”，特別是在設(shè)備端口23/tcp、9530/tcp、9527/tcp上——這些端口可能在攻擊中被利用。

概念驗證代碼可以在GitHub上找到。關(guān)于PoC的構(gòu)建和使用說明可以在Habr中找到。

至于影響，Yarmak說，易受攻擊的HiSilicon芯片很可能與來自無數(shù)白標(biāo)簽供應(yīng)商的設(shè)備一起發(fā)貨，這些供應(yīng)商有無數(shù)的品牌和標(biāo)簽。在這里，他引用了另一名研究人員的工作，他在2017年9月追蹤了數(shù)十家供應(yīng)商銷售的dvr使用的HiSilicon固件中類似的后門機制。