兩大電競潮牌有漏洞!滑鼠鍵盤接上電腦就能獲得最高系統權限

作者 | 發布日期 2021 年 08 月 27 日 7:15 | 分類 周邊 , 網路 , 資訊安全 Telegram share ! follow us in feedly


鍵盤成為資安破口並非什麼鮮事,我們每過一陣子就會聽到駭客透過 Keylogger 擊鍵記錄器竊取使用者帳密的新聞事件。但駭客想讓 Keylogger 發揮作用,還是得經過一連串釣魚郵件 / 網站,以及引誘受害者下載惡意程式或點取惡意連結等手法才能辦得到。

如今知名電競週邊商品潮牌商 Raser 雷蛇與 SteelSeries 旗下鍵盤 / 滑鼠自訂軟體,竟不約而同地被發現零時差漏洞,該漏洞可以讓任何人都可以獲得系統最高存取權限,有心人可藉此安裝任何程式,不僅會有帳密及其他機密資料外洩的風險,也有淪為殭屍電腦的可能性。

在 Twitter 上取名 jonhat 的安全研究人員表示,他們將 Razer 週邊裝置連接上 Windows 10 PC 之後,使用者便立即獲得該電腦的完全系統權限。換言之,任何人都可透過這樣的動作,獲得一台 Windows PC 的最高存取權限,然後安裝任何想要的程式,包括 Keylogger、Bot、木馬或間諜軟體等惡意軟體。

根據美國資安新聞網站《BleepingComputer》的實測,從連接 Razer 滑鼠到獲取完全 Windows 10 系統權限只花了 2 分鐘就搞定。使用者只要一安插滑鼠,就會自動安裝好驅動程式與 Synapse 設定軟體。對於 Razer 粉絲而言,Synapse(目前為 2.0 版)是個熟悉又好用的工具程式,可以方便指定巨集並將設定自動儲存雲端。

明明是競爭對手的 SteelSeries,竟然也出現相同尷尬的局面,其旗下可用來改變光源效果與設定巨集的 Engine 應用程式也潛藏相似的安全漏洞。一旦安插 SteelSeries 鍵盤,使用者可以 Windows 10 命令列提示字元存取完全的管理權限。

Raser 目前決定變更系統會安裝的應用程式,以限制上述使用狀況的發生,並會在近期釋出更新版,讓今後的軟體在使用上不會允許未授權的第三方存取任何電腦。至於 SteelSeries 會主動將新裝置一連上的應用程式自動觸發安裝動作關閉。

(首圖來源:Raser & SteelSeries