Новая атака BadPower ставит под угрозу сотни миллионов устройств
В лучшем случае это приведёт к выходу оборудования из строя, в худшем — к возгоранию и даже нанесению вреда здоровью находящихся рядом людей.
Недавно сразу несколько компаний анонсировали решения мощностью 100–125 Вт, которые способны полностью зарядить смартфон за пару десятков минут.
Из отчёта специалистов следует, что сотни миллионов гаджетов уязвимы перед атакой злоумышленников под названием BadPower. Лаборатория Xuanwu Lab протестировала 35 адаптеров питания, внешних аккумуляторов и других устройств, которые присутствуют сейчас на рынке. У 18 из них обнаружились проблемы с безопасностью, воспользовавшись которыми, хакеры могут инициировать подачу избыточного напряжения на смартфон, планшет или ноутбук. В лучшем случае это приведёт к выходу оборудования из строя, в худшем — к возгоранию и даже нанесению вреда здоровью находящихся рядом людей.
Взломать устройство можно как при непосредственном доступе к устройству с помощью специального устройства, так и так и удалённо — через подключенный к нему скомпрометированный гаджет. Последний способ используется злоумышленниками чаще, тем более что 11 из 18 уязвимых устройств позволяют обойтись без непосредственного контакта.
Причём не важно, о какой технологии быстрой зарядки идёт речь. Важно то, разрешена ли в принципе перезапись микрокода в чипе адаптера питания через USB-порт, или хотя бы надёжно ли проверяется подлинность прошивки. К сожалению, результаты исследования Xuanwu Lab оказались неутешительными: около 60 % применяемых в быстрых зарядных устройствах контроллеров позволяют свободно обновить микрокод через USB-порт.
Лаборатория Tencent Security Xuanwu Lab уже сообщила о результатах своего исследования соответствующим организациям-регуляторам в Китае, а также взаимодействует с производителями электроники для принятия мер по борьбе с BadPower. Специалисты отмечают, что в большинстве случаев для устранения уязвимости достаточно будет обновить прошивку зарядного устройства.