1.媒體來源:
iThome
2.完整新聞標題/內文:
研究人員公布BadUSB漏洞攻擊程式碼
今年8月德國資安業者SR Labs於黑帽（Black Hat）大會上公布BadUSB漏洞，
利用該漏洞可竄改USB裝置的韌體將USB裝置變成邪惡裝置。而上周另兩名獨
立安全研究人員Adam Caudill與Brandon Wilson除了在DerbyCon駭客會議上
再度展示該漏洞外，還在Github上分享相關漏洞的攻擊程式碼。
Caudill於DerbyCon會議上表示，SR Labs並未公布BadUSB漏洞的細節，但他
們相信得讓所有的一切公諸於世。在驗證了某個漏洞之後，也應該要公布細
節以讓大家能夠防範，特別是要讓USB裝置製造商正視此事。
不論是SR Labs或之後的兩名研究人員都是透過逆向工程找到USB韌體的漏洞
，因為包括隨身碟在內等多數裝置的USB控制晶片都未針對內含的程式提供防
護，因此駭客若改善控制晶片程式就能把普通的USB裝置轉成邪惡裝置，例如
假冒成網路卡來改變電腦的DNS設定並控制網路的流向，也能竄改隨身碟或外
接硬碟的韌體以在電腦開機時就植入惡意程式。Caudill與Wilson在會議上展
示的是由台灣群聯所打造的USB控制IC，他們重新修改該控制器的韌體，以讓
USB裝置假冒鍵盤或藏匿檔案等。
資安專家指出，基於惡意修改USB韌體並非新鮮事，像是曾有詐騙份子竄改
USB隨身碟的容量顯示，以便以更高的價格出售。此外，情報組織也會更改
USB韌體來藏匿間諜程式。
目前並無防毒軟體可偵測USB韌體，也沒有能夠封鎖特定裝置的USB防火牆，防
毒軟體僅能在惡意程式感染PC時發生作用，減輕BadUSB風險最好的方式是從製
造端著手。（編譯/陳曉莉）
3.新聞連結:
http://www.ithome.com.tw/news/91332