圖片來源: 

FBI

美國聯邦調查局(FBI)在今年4月底針對一款偽裝成充電器的盜錄裝置KeySweeper提出警告,由於有關KeySweeper的概念性驗證設計早在16個月以前便出爐,因此FBI此時的警告令人不禁懷疑當局已發現相關的攻擊行動,不過FBI並未對此多作說明。

知名硬體駭客Samy Kamkar是在2015年1月公布了KeySweeper的程式碼,還教導人們如何打造真實的KeySweeper裝置,這是一個採用Arduino開發版的裝置,偽裝成USB壁式充電器,但實際任務卻是透過無線網路側錄來自微軟無線鍵盤所傳遞的數據。

FBI表示,如果KeySweeper被擺放在辦公室或其他人們可能使用無線裝置的場所,駭客就能蒐集個人身份資料、智慧財產、商業秘密、密碼或其他機密資訊,此外,由於這些數據是在觸及CPU之前就被攔截,可能讓安全管理人員在追查資訊外洩管道時一頭霧水。

KeySweeper只能被用來攔截微軟特定型號的無線鍵盤所傳遞的訊息,受到影響的鍵盤雖然是在2011年以前製造的,但在坊間仍能購得。微軟則說明,不論是藍牙鍵盤或在2011年以後生產的無線鍵盤皆免受KeySweeper威脅。

由於Arduino裝置通常可模組化與程式化,FBI還擔心駭客可藉由各種通訊協定的漏洞,將KeySweeper改裝成能接收及解密其他無線裝置傳輸內容的工具。

FBI建議企業限制無線鍵盤的使用,或限制可用來充電的插座,也必須確定充電器的主人,以及儘快清除辦公環境中的陌生充電器。

在KeySweeper問世的16個月後才提出警告,FBI並未證實是否發現相關攻擊,Kamkar則說就算真的有人利用KeySweeper展開攻擊也不足為奇。


Advertisement

更多 iThome相關內容