1.媒体来源:
iThome
2.完整新闻标题/内文:
研究人员公布BadUSB漏洞攻击程式码
今年8月德国资安业者SR Labs于黑帽（Black Hat）大会上公布BadUSB漏洞，
利用该漏洞可窜改USB装置的韧体将USB装置变成邪恶装置。而上周另两名独
立安全研究人员Adam Caudill与Brandon Wilson除了在DerbyCon骇客会议上
再度展示该漏洞外，还在Github上分享相关漏洞的攻击程式码。
Caudill于DerbyCon会议上表示，SR Labs并未公布BadUSB漏洞的细节，但他
们相信得让所有的一切公诸于世。在验证了某个漏洞之后，也应该要公布细
节以让大家能够防范，特别是要让USB装置制造商正视此事。
不论是SR Labs或之后的两名研究人员都是透过逆向工程找到USB韧体的漏洞
，因为包括随身碟在内等多数装置的USB控制芯片都未针对内含的程式提供防
护，因此骇客若改善控制芯片程式就能把普通的USB装置转成邪恶装置，例如
假冒成网络卡来改变电脑的DNS设定并控制网络的流向，也能窜改随身碟或外
接硬盘的韧体以在电脑开机时就植入恶意程式。Caudill与Wilson在会议上展
示的是由台湾群联所打造的USB控制IC，他们重新修改该控制器的韧体，以让
USB装置假冒键盘或藏匿档案等。
资安专家指出，基于恶意修改USB韧体并非新鲜事，像是曾有诈骗份子窜改
USB随身碟的容量显示，以便以更高的价格出售。此外，情报组织也会更改
USB韧体来藏匿间谍程式。
目前并无防毒软件可侦测USB韧体，也没有能够封锁特定装置的USB防火墙，防
毒软件仅能在恶意程式感染PC时发生作用，减轻BadUSB风险最好的方式是从制
造端着手。（编译/陈晓莉）
3.新闻连结:
http://www.ithome.com.tw/news/91332