潜伏——发生在身边的信息安全攻防战

　　《愤怒的小鸟》是一个非常知名的游戏，很多人都在手机、平板或者电脑上玩过。那么，你是否在ATM（自动提款机）上运行过这款游戏？

　　来自俄罗斯一家名为Positive Technologies的安全机构通过黑客技术向我们展示了他的手法。在这家安全机构的演示视频中，其研究人员Timur Yunusov走到某家银行的提款机前，插入卡片并输入密码，接下来他在提款机的触摸屏幕上按下了取款选项，并选择了提款的数目。提款机接受了他的指令，并且吐出了现钞。最后，Timur拿走了他的取款收据，并且选择了退出卡片。到此为止，他的做法与正常的提款流程没有任何不同。如果你正好在他后面排队等待办理业务的话，你会看到他的行为再正常不过了。

　　但是，接下来这位排在你前面的外国人所做的事情可能会让你大吃一惊。Timur在自动提款机的待机界面上按了一下，屏幕上很快出现了一个窗口。接下来，这名安全研究人员选择运行了一个批处理命令行。在命令行执行完毕后，他又打开了一款程序。红色的大胖鸟、绿色的小胖鸟，黄色的尖嘴鸟，熟悉的画面很快在自动取款机上显现，《愤怒的小鸟》这时已经成功在自动提款机上运行。Timur甚至还饶有兴致地玩了一把。

　　这段视频迅速在网络上流传开来。实际上，这一事件恰恰反应了当前信息安全业界的一个发展趋势：安全攻击的目标已经不仅仅局限于个人电脑、服务器等通用IT终端，而是更多地开始指向专有设备。这些设备就存在于我们的身边，其不像电脑一样能够执行丰富多彩的应用程序，也不能够提供上网冲浪的功能，而只是通过按钮控制机械地执行我们的命令。这些设备可能是自动取款机，也有可能是打印机，甚至可能是心脏起搏器。

　　你的打印机不安全

　　来自分析机构IDC方面的调研显示，受到全球经济持续低迷以及欧债风波的影响，同时由于移动设备发展迅速带来冲击，打印机近两年来的市场已经开始萎缩。根据IDC的报告显示，2012年第四季度全球打印机市场的出货量为3110万台，相比2011年同期下降了11.2%。但是与此同时，IDC却又同时表示，打印机市场将会在2013年缓慢复苏。

　　IDC项目经理Phuong Hang认为：“市场下滑的主要原因是家用需求下降造成喷墨打印市场萎缩。但是商业喷墨打印机的增长依然强势，这些高价的产品将帮助厂商弥补家用市场的下滑。IDC预测随着消费者信心的回归，整个市场将会缓慢复苏。但是这个增长将会只有个位数。”

　　打印机厂商在2013年频繁发布商用产品，客观上印证了IDC的表述。然而，当越来越多的打印机、一体机出现在办公室中时，恐怕很少会有人想到，其也会带来安全问题。

　　打印机厂商富士施乐和安全厂商迈克菲近期联合对商用打印机的应用状况进行了一项调查。调查显示，在安装有打印机、复印机或MFP（多功能打印机，国内通常称之为一体机）设备的办公室中，有一半的受访员工表示，他们在工作时会复制、扫描或打印公司的机密信息。

　　换句话说，在日常工作中，一些机密信息或者是受到权限控制的文件，都有可能会传送到打印机之中。

　　尽管打印机经常接触到企业的敏感内容，但是包括企业IT人员在内，多数员工都认为，相比其他 IT 设备，计算机才是企业网络中的最大安全隐患。在这一调查中，只有6%的人认为一体机是最大的安全威胁。

　　但是要知道，打印机安全并不是什么新鲜话题。一直以来，针对打印服务器的攻击和0day漏洞（指在系统商在知晓并发布相关补丁前就被掌握或者公开的漏洞信息）就已经层出不穷。比如说，黑客可以通过局域网连接到某台有身份验证的打印服务器，并绕过打印服务器的验证机制，未经授权访问打印服务器，进而控制打印机。获取到打印服务器权限，使得黑客可以在打印服务器中安装程序，通过反编译驱动或者“下钩子（Hook）”监控打印机状态以及信息流，进而截取其工作文档。

　　2008年，有安全从业人员公布了一个新的针对打印服务器的攻击手段：通过诱骗管理员访问某个恶意网站，黑客可以利用跨站脚本攻击向用户浏览器发送JavaScript代码，猜测受害者打印机的位置并且发送指令让打印机工作。

　　当然，这些攻击的目标本质上依然是针对通用IT终端。而随着技术的进步，如今大部分网络打印机都已经具备了处理能力，不再需要依赖打印服务器即可工作。在这种情况下，针对网络打印机的黑客攻击手法也进行了演进。更为可怕的是，由于很多网络打印机都并非通用的x86架构，因此针对其进行的攻击往往具有很强的针对性，而且攻击手段更加隐蔽。

　　针对网络打印机的常见攻击手段看上去似乎都很容易。一种常见的针对网络打印机攻击的操作手法是：黑客在普通的Word文档或者PDF文件中嵌入一段代码，执行打印命令，打印机就已经受到感染。2011年，惠普打印机曝出“泄密门”。黑客通过执行惠普打印机的固件升级命令，可以将恶意代码上载到打印机中，并进而为黑客留下后门。黑客可以通过后门获取打印机中待打印文档的内容，也可以将打印机作为跳板，攻击其他网络终端。

　　如今，大部分打印机厂商都已经在网络打印机上实施了安全措施，以防止打印机泄密，这些举措包括对打印缓存进行加密保护、对内部传输协议进行加密等，但是这并不能阻止黑客窃取加密信息并进行解密。同时，网络打印机是一种机械故障率很低的设备。在办公室中，如果不是硒鼓用光、墨盒耗尽的话，IT部门可能一整年都不会对网络打印机进行维护。与此同时，受到界面、操作的限制，其固件升级管理也并不容易。在这种情况下，频繁对打印机更新内嵌病毒库并不可行。此外，针对打印机中嵌入式操作系统的攻击往往具有很强的针对性，依靠特征码判断危害的病毒库模式并不一定能够监测到相关的攻击。

　　通过将一款名为McAfee Embedded Control的解决方案嵌入到与富士施乐的打印机中，迈克菲正在寻求一种新的控制方式。迈克菲提供的这种嵌入式解决方案主要针对打印机、自动提款机或者POS机这类专有设备。一般来说，这类专有设备的操作系统往往已经固化在控制器中，其所能够执行的操作数量相比较电脑、服务器等通用IT终端非常有限，因此有别于电脑上杀毒软件的黑名单，McAfee Embedded Control采用了白名单的形式，限制专有设备只能进行规则内定义的操作和访问，而非规则所规定的内容一概拒绝。

　　与此同时，针对网络打印机的安全问题，也有厂商开始在打印机之外做文章。安全解决方案厂商HID Global就提供了一种非接触式读卡器解决方案，用户利用读卡器-键盘转换功能，可以简便地通过读卡从而检索凭证卡中内的数据，并利用按键模拟功能将卡片数据直接输入应用程序，而无需用户手工输入凭证卡数据。针对嵌入式应用，HID Global还提供实现相同功能的读卡器模板。这一解决方案主要应用于打印机和复印机中的安全打印验证、单点登录解决方案、门禁系统和网络等环境。

　　ATM攻击，一个由来已久的话题

　　许霆，一个由于银行自动提款机出现故障而疯狂取现的年轻人，最终其由于自己的行为而被告上法庭。

　　“许霆案”告诉了我们一个事实，自动提款机并非没有缺陷。已经有银行文件显示，作为一种综合了多种技术的电子设备，自动提款机也会经常闹一些让人啼笑皆非的“小脾气”。比如，某种型号的自动提款机机标识其对寒冷环境温度的适应性为0℃~40℃。但当气温下降到-20℃左右时，自动提款机便频频发生不正常吐钞的情况，有时吃卡缓慢、吐卡不利。

　　而从信息技术方面来看，作为一种信息化产品，其也不是无坚不摧。由于其同钱款有着直接的联系，因此近十年来，越来越多黑客开始将目光瞄向寻找自动提款机的0day。这其中，一些人是出于对技术的热衷和兴趣，而另一部人则纯粹是以非法逐利为目的。

　　2009年，针对自助服务交付系统厂商Diebold的Opteva系列自动提款机，有黑客开发了相关的木马病毒，并进行了攻击。这一木马被命名为 Agilis 91x，其安装成功后可记录自动提款机上银行卡的相关信息，并可解密所截获数据和指令，通过 ATM 的打印功能输出犯罪者想要的信息。这是有媒体报道的较早出现的针对自动提款机的黑客攻击行为。

　　2010年，在一年一度的“黑帽（BlackHat）”计算机安全会议上，来自西雅图信息安全测试公司IOActive的主管Barnaby Jack就为听众现场示范了侵入自动提款机的流程。在他的演示中，只需要轻松按下几个按键，钞票就会不断吐出，现场听众无不哗然。这也是这类技术首次被大规模的公布于世。

　　在当时，黑帽安全大会的创始人Jeff Moss评价Barnaby的做法时表示：“杰克的客厅里摆满了各种品牌的ATM机，看起来或多或少都有问题。”

　　2013年5月，8名因攻击ATM取款机并非法盗取4500万美元的犯罪分子在纽约被警方抓获。美国国土安全局移民与海关执法部门透露，这8名犯罪分子对银行机构的计算机系统发起攻击，并成功从中盗取大额现金。由这8名犯罪分子组织的2起攻击分别发生在2012年的12月和2013年的2月。攻击中，总共涉及到了20个国家的ATM取款机。其中，有一台ATM取款机在10个小时进行了36000多次交易。之后，这些犯罪分子将所有非法得到的钱换成了珠宝、跑车等奢侈品。纽约警方表示，虽然他们成功抓获了这几位犯罪分子，但是在这些人的背后还隐藏着一个巨大的国际犯罪团伙。

　　这类黑客的攻击手段几乎很少被披露。目前来看，现有的攻击手段一般都是从系统漏洞着手，而这些漏洞并不像很多人想象的那样难找。这是因为，如今市场上大部分的自动提款机采用的都是微软的Windows操作系统。是的，就和我们所使用的Windows系统一样。甚至于，有自动提款机的操作系统还在使用Windows XP或者Windows CE。有数据显示，早在2004年，市面上已经有70%的ATM新产品采用Windows操作系统。而根据Diebold近期对外的表述，该公司新出货的提款机当中大约有90%都采用了Windows操作系统。

　　此外，还有相当一部分自动提款机或者自助金融服务设备采用了Linux操作系统。对于这类系统，利用JavaScript代码进行的跨站脚本攻击依然有效。这些厂商之所以采用通用操作系统，其驱动力大部分都来自于降低开发成本的目标。

　　相比较找到漏洞，目前对于黑客来说，最为困难的部分就是如何将恶意代码植入到自动提款机上。

　　威胁生命的专有设备攻击

　　2013年7月中旬，开发框架Struts 2曝出安全漏洞。这一安全漏洞进而影响到了全球网站，其中不乏知名机构。由此可见，如今的安全事件已经呈现出由点及面的规模化效应。在可以预知的未来，我们可以想象，针对专用设备的安全攻击也将展现这种效果，而且其影响力和破坏力甚至要更甚于针对通用IT终端的攻击。

　　美剧《国土安全》（Homeland）中有着这样一段剧情：美国副总统在严密安保的海军气象天文台办公室中痛苦地抓揉着胸部，无奈地挣扎而亡。他的死因是由于，其所佩戴的起搏器受控产生了超级纤维性颤动，并引发心绞痛。而这一切都是由一个远在天边的20多岁恐怖分子干的，他利用笔记本电脑和窃取的序列号攻击了采用无线控制的医疗设备并“引导”其杀死了患者。

　　这并非耸人听闻或者是什么剧情的夸大。安全厂商迈克菲曾经在RSA大会上演示过一种黑客攻击，这种攻击手法利用了胰岛素泵的无线控制系统缺陷。通过这种利用，黑客可以控制胰岛素泵，绕过产品内设的内置保护措施并带来致命后果。

　　当前的热门技术RFID也是一样。小巧又低廉的RFID标签因技术先进和方便管理而被众多零售商添加在商品包装上，以实时跟踪商品的流动情况。然而，已经有越来越多的黑客技术开始盯上了这一领域。早在六、七年前，就已经有黑客编写出了可以识读和编辑RFID标签的软件。近年来，针对RFID领域的攻击更是层出不穷，其所能实现的效果包括身份的跟踪、窃取、伪造、拒绝服务等多种形式。试想一下，当RFID被广泛使用时，黑客可以修改标签将贵重商品减价，大摇大摆拿出地走出商店；喜欢恶作剧的人可能会随意地交换标签以制造混乱；有恶意企图的人则会通过RFID搜寻你的消费习惯。这将会多么可怕。

　　我们的身边充斥着各类电子设备，这些设备方便了我们的生活，但是却存在着被人利用的风险。我们应该怎么办？

　　迈克菲网络安全副总裁兼总经理Pat Calhoun在自己的博客上写下了这样一段话：还记得被称为汽车黄金时代的上世纪中期吗？当时每个人都有大块头、大马力、以及令人兴奋的汽车。然而兴奋之余，我们会发现，这些汽车实际上缺少所有我们今天认为理所当然的救命用的安全设备，包括安全带、气囊、第三刹车灯和撞击缓冲区。因此，驾驶在当时绝对是一件冒险的事。放眼当今的无线计算世界，情形又何尝不是如此。技术和产品令人兴奋，但缺少快速降低风险的措施。而我们面临的问题是，无线网络变化多端而且变化迅速，网络安全措施更无法跟上它的脚步。因此，是时候停下来思考一下如何保护每一个硬件，因为我们过去在PC时代用的那套已过时了，单单每月或每周更新台式机病毒防护软件的方式如今已不凑效。现在应该为整个计算环境采取高级安全措施，在业内也称为“端到端”安全。

　　本报记者 李旭阳