网络安全解决方案厂商 Check Point Software Technologies Ltd. 的威胁情报部门 Check Point Research 于 11 日发布消息表示，因智慧照明的漏洞，使骇客可利用此漏洞接管智慧灯泡及桥接器，进而将勒索软件或其他恶意软件传播到企业和家庭网络。
Check Point 表示，研究人员展示攻击者如何透过智慧灯泡及桥接器，对物联网的家庭、企业甚至智慧城市的传统电脑网络发起攻击，并重点研究市场领先的飞利浦 Hue 智慧灯泡和桥接器，发现其中的漏洞 CVE-2020-6007，允许攻击者透过攻击使用 ZigBee 低功耗无线协定，控制物联网的设备从远端侵入网络。
Check Point 展示相关骇客攻击场景。首先，攻击者控制灯泡的颜色或亮度，让使用者误以为灯泡故障，并让该灯泡在使用者 App 显示为“无法连接”，让使用者尝试“重置”。其次，借由重置灯泡从 App 删除，然后命令桥接器重新连接灯泡。随后透过桥接器连接受攻击的灯泡，后使用者再重新新增灯泡到网络。
之后攻击者控制装有更新固件的灯泡，并使用 ZigBee 协定漏洞向桥接器发送大量资料，以触发堆积缓冲区溢位（heap-based buffer overflow）。此外，这些资料还允许攻击者在桥接器安装恶意固件，连接到目标企业或家庭网络。最后，以恶意固件连回攻击者，并借助已知漏洞（如 EternalBlue），透过桥接器侵入目标 IP 网络，传播勒索软件或间谍软件。
Check Point Research 指出，许多人都知道物联网设备可能带来安全风险，但这项研究表明，即使是最不起眼的设备如灯泡，也会遭骇客用于接管网络或恶意软件植入。因此，企业和个人必须使用最新修补程式更新设备，并与网络其他设备隔离，以限制恶意软件潜在传播，保护自身免于潜在攻击的威胁。在复杂的第 5 代攻击环境中，我们不能忽视任何连网设备的安全性。
Check Point 表示，以上研究在以色列特拉维夫大学 Check Point 资讯安全研究所（CPIIS）帮助下完成，并于 2019 年 11 月向飞利浦和 Signify（Philips Hue 品牌母公司）揭露，确认 Signify 产品有漏洞后开发修补程式（固件1935144040），已透过自动更新升级相关产品。Check Point 建议，相关产品使用者应主动检查是否自动更新，以确保产品升级至最新固件。
（首图来源：飞利浦）
