如今智能设备正走进千家万户，给我们的生活带来极大便利。当我们在享受智能时代成果的同时，其背后的安全隐忧也不得不让我们引起高度重视。
近日，Check Point公司的威胁情报部门 Check Point Research披露了一些漏洞，它们可被黑客用于接管智能电灯及其控制器，进而将勒索软件或其他恶意软件传播到商用和家用网络。
CheckPoint 研究人员展示了攻击者如何利用物联网（智能电灯泡及其控桥）对家庭、企业乃至智慧城市中的传统计算机网络发起攻击。研究人员重点研究了飞利浦 Hue智能电灯泡和桥接器，并发现一些漏洞(CVE-2020-6007) 允许他们使用ZigBee低功耗无线协议（用于控制各种物联网设备）中的远程利用程序侵入网络。
2017 年对ZigBee 控制智能电灯泡安全性的一项分析显示，研究人员能够控制网端 Hue 电灯泡，并安装恶意固件。由于设计限制，厂商只能修复传播漏洞，因此攻击者仍可接管目标的 Hue 电灯泡。利用这一遗留漏洞，其研究人员决定更进一步，使用 Hue 电灯泡作为平台来接管电灯泡的控制桥接器，并最终攻击目标的计算机网络。
研究人员通过控制电灯泡的颜色或亮度，让用户误以为电灯泡出现故障。该电灯泡在用户的控制应用中显示为“无法访问”，因此用户将尝试对其进行“重置”。然后，研究人员利用ZigBee协议漏洞触发堆缓冲区溢出。借助已知漏洞（例如EternalBlue），攻击者通过控制桥接器侵入目标 IP 网络，以传播勒索软件或间谍软件。
CheckPoint Research 发言人表示：“许多人都知道，物联网设备可能带来安全风险，但这项研究表明，即使是最不起眼的设备（例如电灯泡）也会被黑客用于接管网络或植入恶意软件。因此，组织和个人必须使用最新修补程序更新设备，并将其与网络上的其他设备隔离开，以限制恶意软件的潜在传播，从而保护自身免遭可能出现的攻击。在当今复杂的第五代攻击环境中，我们不能忽视任何联网设备的安全性。”
这项研究在特拉维夫大学Check Point 信息安全研究所 (CPIIS)的帮助下完成，并于 2019年 11 月与飞利浦和 Signify（飞利浦品牌的母公司）共同披露。Signify确认其产品存在漏洞，并在随后开发了修补程序(固件 1935144040)，该补丁已通过自动方式进行了相关产品升级。Check Point建议该产品用户检查自动升级设置，以确保产品升级至最新固件。
声明：本文来自网络安全和信息化，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
