8a65f7f7e3895fcf0bad09c07c7eba02 身處網路時代,電器產品內建的網路服務皆須連上網際網路,譬如音響連接 Spotify 提供音樂串流播放服務,家家必備的電視也普遍智慧化,能夠上網觀看影片或是玩遊戲,更別說不少人會購買的多媒體播放器,按按遙控器就能觀賞內容供應商提供的影音內容,但你曾想過這些設備可能成為網路入侵者的跳板嗎?

Avast 於自家部落格發布資訊,闡述他們是如何找到 Vizio 智慧電視的網路安全漏洞,進而利用來當作入侵家用網路的跳板,透過控制電視傳送客製化廣告給使用者。由於目前液晶電視價格平民化,替電視加裝 1 組提供智慧服務系統也不貴,同時也可作為產品賣點,因此幾乎每個人家中的液晶電視皆可連上網路。

用來做實驗的 Vizio 智慧電視,其網路連線導向 1 組可記錄所有網路流量的設備,並能夠即時分析或是儲存起來供未來使用。研究期間,Avast 還發現 Vizio 智慧電視無視使用者是否開啟資料分享功能,均會上傳電視的使用資訊。研究者還發現即使電視不使用網路串流,僅收看一般的無線頻道,依然與 tvinteractive.tv 建立 HTTPS 連線,但由於是 SSL 加密連線,未知其傳輸內容。

研究者先使用 WHOIS 調查 tvinteractive.tv 的功能,發現它主要收集目前電視播出內容的特徵檔,再傳送此特徵檔給予內容提供者或廣告商,接著電視就會收到 1 組連結或是相關資訊呈現於電視畫面。研究者認為此處是研究的進入點,於是使用錯誤的 DNS 資訊,將連線導入假的 tvinteractive.tv 伺服器。


▲擁有許多功能的智慧電視,可能成為惡意人士入侵跳板。(圖片來源:Avast Blog)

由於 Vizio 智慧電視並不會驗證伺服器 HTTPS 憑證是否有效,因此假的 tvinteractive.tv 伺服器連線也會被接受,於是研究團隊便使用中間人攻擊方式,持續觀察並研究電視與伺服器之間對傳的資訊。研究途中,發現電視會向外傳輸 RGB 色彩格式資料,此資料就是所謂的特徵檔,供伺服器判斷使用者正在觀賞何種節目。

除了觀察傳輸資訊之外,電視內部儲存的程式資料也被匯出進行逆向工程。最終他們能夠控制在電視上顯示的訊息,可以引導使用者作出更進一步的動作,逐漸完成入侵家中網路的要件,就像詐騙集團指示受害者去操作提款機一樣。

Avast 也提供了 Vizio 智慧電視使用者避免被攻擊的方法,只要關閉電視的 Smart Interactivity 功能即可。而在此篇部落格文章刊出的同時,Vizio 也釋出了線上更新檔案修復漏洞。

延伸閱讀

Android 裝置暴露於危險之中,研究調查顯示高達 87.7%

「Stagefright」漏洞讓全球95%的Android手機都會中標,教你如何自我防堵漏洞

使用 Facebook 留言

發表回應

謹慎發言,尊重彼此。按此展開留言規則