Máy ảnh DSLR của Canon có thể bị mã độc tống tiền hack từ xa

08:00 | 03/09/2019 | HACKER / MALWARE

Mối đe dọa của mã độc tống tiền (ransomware) ngày càng trở nên phổ biến và nghiêm trọng hơn khi mục tiêu của kẻ tấn công có thể đã vượt ra ngoài máy tính để chuyển sang điện thoại thông minh và các thiết bị thông minh có kết nối Internet khác.

Trong nghiên cứu mới nhất của mình, các nhà nghiên cứu bảo mật tại công ty an ninh mạng Checkpoint đã chứng minh kẻ tấn công dễ dàng lây nhiễm mã độc tống tiền vào máy ảnh DSLR từ xa rồi giữ hình ảnh và video riêng tư cho đến khi nạn nhân trả tiền chuộc.

Máy ảnh DSLR của Canon có thể bị mã độc tống tiền hack từ xa

Nhà nghiên cứu bảo mật Eyal Itkin đã phát hiện ra một số lỗ hổng bảo mật trong firmware của máy ảnh Canon có thể bị khai thác qua cả kết nối USB và WiFi, cho phép kẻ tấn công chiếm quyền kiểm soát máy ảnh và các tính năng của nó.

Theo một bản tin tư vấn bảo mật do Canon phát hành, các lỗi bảo mật được báo cáo ảnh hưởng đến máy ảnh DSLR dòng EOS và các máy ảnh không gương lật PowerShot SX740 HS, PowerShot SX70 HS và PowerShot G5X Mark II.

"Hãy tưởng tượng bạn sẽ phản ứng thế nào nếu những kẻ tấn công lây nhiễm mã độc tống tiền vào cả máy tính và máy ảnh của bạn, nhờ đó chúng chiếm giữ tất cả các hình ảnh làm con tin trừ khi bạn trả tiền chuộc", Itkin cảnh báo.

Giao thức PTP của Canon DSLR và lỗ hổng firmware

Tất cả các lỗ hổng này nằm trong cách Canon triển khai Giao thức truyền hình ảnh (PTP) trong firmware của nó, một giao thức chuẩn mà máy ảnh DSLR hiện đại sử dụng để truyền tệp giữa máy ảnh và máy tính hoặc thiết bị di động qua cáp (USB) hoặc không dây (WiFi).

Bên cạnh việc truyền tệp, PTP cũng hỗ trợ hàng tá lệnh để xử lý từ xa nhiều tác vụ khác trên máy ảnh từ việc chụp ảnh trực tiếp đến nâng cấp firmware của máy ảnh, nhiều lệnh trong số đó đã bị phát hiện là có thể bị lợi dụng.

CVE-2019-5994 — Lỗ hổng tràn bộ đệm trong SendObjectInfo

CVE-2019-5998 — Lỗ hổng tràn bộ đệm trong NotifyBtStatus

CVE-2019-5999 — Lỗ hổng tràn bộ đệm trong BLERequest

CVE-2019-6000 — Lỗ hổng tràn bộ đệm trong in SendHostInfo

CVE-2019-6001 — Lỗ hổng tràn bộ đệm trong SetAdapterBatteryReport

CVE-2019-5995 — Âm thầm cập nhật firmware độc hại

Itkin phát hiện ra rằng các tác vụ của Canon PTP không yêu cầu xác thực và cũng không mã hóa, cho phép kẻ tấn công chiếm quyền điều khiển máy ảnh DSLR trong những kịch bản sau:

Qua USB — Mã độc đã xâm nhập máy tính có thể lây sang máy ảnh ngay khi bạn kết nối nó với máy tính qua cáp USB.

Qua WiFi — Một kẻ tấn công ở gần máy ảnh DSLR có thể thiết lập điểm truy cập WiFi giả để lây nhiễm mã độc vào máy ảnh.

"Điều này có thể dễ dàng đạt được bằng cách sniffing (nghe lén trên mạng) và sau đó giả mạo AP để có cùng tên với điểm truy cập mà máy ảnh tự động cố gắng kết nối. Một khi kẻ tấn công nằm trong cùng mạng LAN với máy ảnh, anh ta có thể bắt đầu khai thác," Itkin giải thích.

Khai thác lỗ hổng DSLR của Canon để triển khai mã độc tống tiền qua kết nối không dây

Nhà nghiên cứu đã khai thác thành công một trong những lỗ hổng này cho phép họ đẩy và cài đặt bản cập nhật firmware độc hại trên máy ảnh DSLR được nhắm tới qua WiFi mà không cần sự tương tác của nạn nhân. Firmware độc hại đã được sửa đổi để mã hóa tất cả các tệp trên máy ảnh và hiển thị yêu cầu tiền chuộc trên màn hình của nó bằng cách sử dụng các chức năng AES tích hợp có sẵn mà Canon sử dụng để bảo vệ firmware.

"Có một lệnh PTP cho một bản cập nhật firmware từ xa, không cần có sự tương tác của người dùng", nhà nghiên cứu giải thích. "Điều này có nghĩa là ngay cả khi tất cả các lỗ hổng thực thi được vá, kẻ tấn công vẫn có thể lây nhiễm vào máy ảnh bằng tệp cập nhật firmware độc hại".

Một cuộc tấn công bằng mã độc tống tiền thực sự thuộc loại này là một trong những mối đe dọa lớn nhất đối với những ký ức quý giá của bạn, theo đó tin tặc có thể yêu cầu tiền chuộc để đổi lấy khóa giải mã sẽ mở khóa ảnh, video và tệp âm thanh của bạn.

Các nhà nghiên cứu đã báo cáo các lỗ hổng này cho Canon vào tháng 3 năm nay. Tuy nhiên, công ty hiện chỉ phát hành bản cập nhật firmware cho mẫu Canon EOS 80D và khuyến nghị người dùng các mẫu bị ảnh hưởng khác tuân theo các thực tiễn bảo mật cơ bản cho đến khi có bản vá cho thiết bị của họ.

Nguyễn Anh Tuấn

The Hacker News

‹ › ×

Tin liên quan

Phát hiện mã độc tống tiền nhắm tới người chơi Fortnite

10:00 | 11/09/2019

Các nhà nghiên cứu bảo mật của công ty cung cấp các giải pháp an toàn mạng Cyren (trụ sở chính tại Mỹ) đã phát hiện ra một họ mã độc tống tiền mới dựa trên phần mềm độc hại nguồn mở Hidden-Cry, nhắm đến người chơi Fortnite.

Ứng dụng Android độc hại xuất hiện hai lần trên Google Play

10:00 | 11/09/2019

Nghiên cứu của công ty an ninh mạng ESET (trụ sở chính tại Slovakia) đã phát hiện ra trường hợp đầu tiên của mã độc gián điệp Android dựa trên công cụ gián điệp nguồn mở AhMyth. Mã độc này ẩn giấu trong một ứng dụng radio đã xuất hiện hai lần trên cửa hàng Google Play.

Canon bị hack 10 TB dữ liệu

17:00 | 19/08/2020

Vụ tấn công bằng mã độc tống tiền gây ảnh hưởng lớn đến hệ thống máy chủ và website của Canon. Đồng thời, hãng này bị đánh cắp một lượng lớn dữ liệu lên đến 10 TB.

5 lưu ý đối với doanh nghiệp để phòng chống mã độc tống tiền

15:00 | 24/10/2019

Mối đe dọa về mã độc tống tiền ngày càng gia tăng với hình thức tinh vi hơn. Vậy phải làm thế nào để doanh nghiệp có thể bảo vệ tổ chức khỏi mối đe dọa về mã độc tống tiền?

Phát hiện 5 lỗ hổng ảnh hưởng đến một số thiết bị mạng của Cisco

10:00 | 10/03/2020

Một số thiết bị mạng do Cisco sản xuất như bộ định tuyến, chuyển mạch, điện thoại IP và máy ảnh đã được phát hiện là dễ bị tấn công trước năm lỗ hổng bảo mật mới. Những lỗ hổng này có thể cho phép tin tặc kiểm soát hoàn toàn các thiết bị và tấn công hệ thống mạng của doanh nghiệp.

Tin cùng chuyên mục

Lỗ hổng trong thư viện Aiohttp bị tin tặc khai thác để tấn công mạng

10:00 | 28/03/2024

Các nhà nghiên cứu phát hiện nhóm ransomware ShadowSyndicate đang quét các máy chủ tồn tại lỗ hổng directory traversal định danh CVE-2024-23334, hay còn gọi là lỗ hổng path traversal trong thư viện Aiohttp của Python.

Khám phá Trojan ngân hàng Coyote

07:00 | 11/03/2024

Mới đây, các nhà nghiên cứu của hãng bảo mật Kaspersky (Nga) đã phát hiện một Trojan ngân hàng tinh vi mới đánh cắp thông tin tài chính nhạy cảm có tên là Coyote, mục tiêu là người dùng của hơn 60 tổ chức ngân hàng, chủ yếu từ Brazil. Điều chú ý là chuỗi lây nhiễm phức tạp của Coyote sử dụng nhiều kỹ thuật tiên tiến khác nhau, khiến nó khác biệt với các trường hợp lây nhiễm Trojan ngân hàng trước đó. Phần mềm độc hại này sử dụng trình cài đặt Squirrel để phân phối, tận dụng NodeJS và ngôn ngữ lập trình đa nền tảng tương đối mới có tên Nim làm trình tải (loader) trong chuỗi lây nhiễm. Bài viết này sẽ phân tích hoạt động và khám phá khả năng của Trojan ngân hàng này.

Phân tích chức năng gián điệp trong phiên bản mod WhatsApp tấn công người dùng Ả Rập

09:00 | 08/12/2023

Để bổ sung thêm những tính năng dành cho các nền tảng ứng dụng nhắn tin hiện nay, các nhà phát triển bên thứ ba đã đưa ra các bản mod (phiên bản sửa đổi của ứng dụng không chính thức) cung cấp các tính năng mới bên cạnh những nâng cấp về mặt giao diện. Tuy nhiên, một số mod này có thể chứa phần mềm độc hại cùng với các cải tiến hợp pháp. Một trường hợp điển hình đã xảy ra vào năm ngoái khi các nhà nghiên cứu Kaspersky phát hiện ra Trojan Triada bên trong bản mod WhatsApp. Gần đây, các nhà nghiên cứu đã phát hiện một bản mod Telegram có module gián điệp được nhúng và phân phối thông qua Google Play. Câu chuyện tương tự hiện tại xảy ra với WhatsApp, khi một số bản mod trước đây đã được phát hiện có chứa module gián điệp có tên là Trojan-Spy.AndroidOS.CanesSpy.

Phân tích hoạt động Trojan GoldDigger mới trên Android

14:00 | 09/11/2023

Vào tháng 8/2023, các nhà nghiên cứu tại nhóm thông tin tình báo về mối đe dọa của công ty an ninh mạng Group-IB (Singapore) đã phát hiện một Trojan Android chưa từng được biết đến trước đây nhắm mục tiêu vào các tổ chức tài chính ngân hàng ở Việt Nam. Các nhà nghiên cứu đặt tên Trojan mới này là GoldDigger để chỉ một hoạt động GoldActivity cụ thể trong tệp APK. Trong bài viết này sẽ đưa ra những phân tích chính về hoạt động của GoldDigger dựa theo báo cáo của Group-IB mới đây.