efcon：黑客可以通过显示器入侵十亿电脑

SAKAISON表示现在连显示屏都不保了，心好累啊。

还是要管住手，不要见什么都往里面点，上周朋友号被盗给我发文件，想都没想就点了。。是病毒。。病毒。。毒。。u，电脑还在维修中。

------------------------------------------------正文分割-----------------------------------------------------------------------------------

在Defcon大会上，一批来自红气球安全研究中心（Red Balloon Security）的研究人员演示了如何通过电脑显示器黑掉一台电脑。人们通常会错位的认为显示器是一个被动附属设备，不可能会被攻击者用来破解我们的系统。

现在看来，理想很丰满，现实很骨感。攻击者可以劫持每一个显示器，并且利用它们来入侵我们的电脑系统。一组安全研究人员设计了一种方法来破解嵌入式计算机，他们的这种方法可以控制显示器监视受害者，同时，还可以操纵显示器屏幕的像素。

该小组由Ang Cui（红色气球安全研究中心的首席）带队参加Defcon黑客会议，他们于星期五在Defcon会议上和大家分享了这项技术。

其实，攻击场景很简单，黑客欺骗受害者访问恶意网站或者点击一个网络钓鱼链接，只要受害者上钩了，黑客就可以在嵌入式计算机上运行固件，从而控制显示器。

攻击者只需要植入一个固件，等待他的指示。攻击者会利用一个闪烁的图形元素发送数据到植入的固件中，这个图形元素简称像素，它可以隐藏在任何网页内容中（在视频或者网站中）。

 

Ang Cui及其同事Jatin Kataria演示了如何破解戴尔U2410显示器，他们通过入侵该显示器来改变和记录屏幕上的像素。

在Defcon会议的演示过程中，他们展示了如何改变网页上的细节，他们还演示了如何将PayPal账户余额从0到100万美元。

Cui向大家解释说，该技术可以被利用来监视受害者，或者改变那些不包含在由电脑发送到显示器的图片、视频。

这个漏洞的关键在于固件的更新方式，需要强调一点，这项攻击需要或者获得物理访问显示器的权限，比如利用HDMI或者USB端口。

Lorenzo Bicchierai从主板角度考虑，这个漏洞是十分危险的，模拟一个场景，如果黑客入侵的了某一发电厂的一台可以看到有控制界的显示器，这就很可能会酿成大祸。

Cui先是问大家“你们可以控制电力，关闭发电厂吗？”接着他带着一丝狡黠的微笑说道：“我可以做到这点。”

专家强调说，因为图像加载会比较缓慢，所以攻击并不是那么迅速。不论如何，总之这样的方法对于入侵显示器来说可能是最有效的，主要是针对静态的，集成电路系统的控制台。

这方面的入侵造成的影响是巨大的，推算一下，主要的生产商们销售的嵌入式计算机就有十亿台，安全研究员也分析了来自其他品牌的显示器，其中包括三星、宏基以及帕卡德休利特，与此同时，研究员们还证实了，在理论上是可以利用相同的技术破解所有的显示器。

两位专家在GitHub上分享了他们的代码：

https://github.com/redballoonshenanigans/monitordarkly

这份报告包括了戴尔2410U的显示器漏洞，它包含了设备上用于与代码通信的实用程序。这项研究的提出是为了强调显示器屏幕方面的安全性的缺乏。如果你们感兴趣可以点击链接查看Recon 0xA的研究成果：http://www.redballoonsecurity.com/presentation/Recon_0xA_A_Monitor_Darkly.pdf 详情可以参见Git Hub.

这个漏洞告诉我们，信任显示器可能会是个坏主意！

最后，Cui告诉大家“在我们生活的现代社会，你不能相信显示器是安全的。”

本文由 安全客 翻译，转载请注明“转自安全客”，并附上链接。
原文链接：http://securityaffairs.co/wordpress/50102/hacking/hackers-computer-monitor.html