黑客可通过手环感染恶意软件，继而感染电脑（含视频）

当你带着fibit慢跑时，可曾想过黑客可以让你的手环感染恶意软件，然后再通过蓝牙感染你的计算机？ 为了避免病毒感染，慢跑时请关掉蓝牙。 在3月份, FitBit健身追踪器里的一个漏洞被首次报告给供应商,但直到现在, 当你坐在公园的长椅上时,这个漏洞仍有可能被人利用并捕捉你的呼吸。 根据Fortinet的调查发现，这种用于累计运动量的佩带物是一个开放的蓝牙端口。这种攻击非常快速,可以通过受感染的FitBit传播到其连接的其他计算机。 实施这种通过蓝牙的攻击需要攻击者在目标设备的附近几米处。这个恶意软件可以在连接设备10秒后进行传递,使得即使是短暂的接近也成为问题。测试表明，成功破解大约仅需要一分钟。 Fortinet的研究员Axelle Apvrille告诉Vulture South,这种攻击具有完整的持久性，这意味着是否重新启动FitBit Flex并不重要，任何连接到这种手环的计算机都会遭到攻击，例如后门,木马,或者任何攻击者想做的事情。 Apvrille说：“对于蓝牙距离范围内的健身追踪器，攻击者会发送一个受感染的数据包，然后其余的攻击会自动发生，攻击者不再有任何接近的必要。” 当受害者希望将他们在FitBit服务器上的健身数据进行同步，以更新他们的个人资料时…健身跟踪器会响应查询,但除了标准消息,这种响应已经被受感染的代码影响了。 “从这里开始,它会提供一个特定的恶意负载给笔记本电脑,也就是说,开启一个后门或者让机器崩溃，这样就可以传播出去并感染其他的追踪器(fitbit)。” 这是第一次恶意软件被成功传递到健身追踪器串。这种攻击途径仍然存在。Apvrille曾在3月警告过FitBit，并说该公司认为这只是个无关紧要的问题。 Apvrille,一位受人尊敬的恶意软件研究员,将在明天的Hack.Lu会议上提供一个概念验证演示视频。 她说：“视频表明，这种感染持续存在于多种讯息中，即使我完全重置与跟踪器的连接,大多数受感染的字节仍会存在,这意味着我们有足够的空间来传达一个简短的恶意代码。” Apvrille还使用了其它攻击方式，她可以通过操纵计算步骤和记录距离的数量来获得徽章,并换取折扣和奖励。 这些徽章可以通过第三方公司变成折扣和礼物，比如Higi在 4月推出了一个API来帮助企业获得来自于手环的健康数据。 Apvrille翻转了24条Fitbit追踪器消息以及20个USB蓝牙设备消息来作为主要逆向工程的一部分,而这些设备是闭源的, 软件内部不附带文档。 她说，在XML和蓝牙低能量时会进行通讯，同时，加密和解密都发生在手环上,而不是“安全边界外”的蓝牙适配器。 这个通信数据集被分为"大型转储",里面包括行走步骤、用户活动信息、用于配对的“微转储”、服务器响应和设备标识符。 其他研究人员的工作是增加新的信息到Fitbit的低级软件内部构件现有库中。 这已经不是健身手环第一次产生安全问题。2013年，研究人员能够通过假登录信息访问任何Fitbit账户，而松懈的认证检查能够允许攻击者获得奖品。 视频如下： <iframe src="http://player.youku.com/embed/XMTM2NzA3ODYwMA==" width="510" height="498" frameborder="0" allowfullscreen="allowfullscreen"></iframe>   文章来源【360安全播报】

关注公众号：拾黑（shiheibook）了解更多

[广告]赞助链接：

四季很好，只要有你，文娱排行榜：https://www.yaopaiming.com/
让资讯触达的更精准有趣：https://www.0xu.cn/