- Sicherheitsforscher Tarlogic fanden eine versteckte Funktion im ESPC32 Bluetooth -Chip
- Der erschwingliche Chip findet sich weltweit in Millionen von inländischen IoT -Geräten
- Der Fehler ermöglichte böswillige Schauspieler Zugang zu den Geräten und sensiblen Daten, die durchkommen
Ein kostengünstiger Bluetooth-Chip, der angeblich Millionen von Internet of Things (IoT) auf der ganzen Welt versorgt, verfügt über eine „verborgene Funktion“, mit der diejenigen, die dies wissen, willkürliche Befehle ausführen, zusätzliche Funktionen freischalten und sogar vertrauliche Informationen aus den Geräten extrahieren können.
Cybersecurity -Forscher bei Tarlogic haben behauptet ESPC32 -Chips, die die Konnektivität über WLAN oder Bluetooth ermöglichen, “haben die vom Hersteller nicht dokumentierten Befehle versteckt”.
“Diese Befehle würden es ermöglichen, die Chips willkürlich zu ändern, um zusätzliche Funktionen freizuschalten, diese Chips mit bösartigem Code zu infizieren und sogar Angriffe auf Identitätsdiebstahl von Geräten auszuführen”, sagten sie.
Vertrauliche Informationen erhalten
Der ESP32 -Chip wird von einer chinesischen Halbleiterfirma mit Hauptsitz in Shanghai namens Espressif erbaut. Es kostet ungefähr 2 US -Dollar pro Einheit und wurde nach Angaben des Herstellers von seiner Gründung bis 2023 eine Milliarden Mal verkauft.
Laut Tarlogic ist seine Erschwinglichkeit einer der Hauptgründe, warum es in Bluetooth -IoT -Geräten für den häuslichen Gebrauch so häufig zu finden ist.
Tarlogic beschrieb die Erkenntnisse zum ersten Mal als „Hintertür“, aber später in dieser Terminologie zurückgezogen: „Wir möchten klarstellen, dass es angemessener ist, sich auf das Vorhandensein von proprietären HCI -Befehlen zu beziehen – die Operationen wie das Lesen und Ändern des Speichers im ESP32 -Controller – wie ein„ verstecktes Merkmal “zulassen, eher zulässt.
Trotz, Bedrohungsakteure könnten diese Befehle verwenden, um Lieferkettenangriffe auszuführen, Hintertüren im Chipsatz zu verbergen oder anspruchsvollere Angriffe auszuführen, fügte Tarlogic hinzu. Sie könnten sich als bekannte Geräte ausgeben, um eine Verbindung zu Mobiltelefonen, Computern und intelligenten Geräten herzustellen, selbst wenn sie sich im Offline -Modus befinden.
Tarlogic sagte, der Zweck sei: “Vertrauliche Informationen, die über sie gespeichert sind, Zugang zu persönlichen und geschäftlichen Gesprächen haben und Bürger und Unternehmen ausspionieren.”
Wir haben uns an Espresssif gewandt, um einen Kommentar zu erhalten, und werden den Artikel aktualisieren, wenn wir hören.
