Check Point发现透过智能灯泡攻击企业与家庭网络

Check Point Software Technologies Ltd.的威胁情报部门Check Point Research揭露智能照明的漏洞，黑客可利用此漏洞接管智能灯泡及其桥接器，进而将勒索软件或其他恶意软件传播到企业和家庭网络。

Check Point研究人员展示了攻击者如何透过智能灯泡及其桥接器，对物联网中的家庭、企业甚至是智能城市中的传统电脑网络发起攻击，并重点研究了市场领先的飞利浦Hue智能灯泡和桥接器，进而发现其中的漏洞CVE-2020-6007，允许攻击者透过攻击使用ZigBee低功耗无线协定来控制物联网的设备从线上侵入网络。

2017年对ZigBee控制智能灯泡安全性的一项分析显示，研究人员能够控制联网Hue灯泡，安装恶意韧体进而传播至相近智能灯泡网络。利用这一遗留漏洞，Check Point更进一步使用Hue灯泡作为平台来接管灯泡的桥接器，最终攻击目标的电脑网络。新一代Hue灯泡现已修复此漏洞。

Check Point Research网络研究总监Yaniv Balmas表示，许多人都知道物联网设备可能带来安全上的风险，但这项研究表明，即使是最不起眼的设备也会被黑客用于接管网络或恶意软件植入。因此，企业和个人必须使用最新修补程序更新设备，并将其与网络上的其他设备隔离，以限制恶意软件的潜在传播，从而保护自身免于潜在攻击的威胁。在复杂的第五代攻击环境中，不能忽视任何联网设备的安全性。

这项研究在特拉维夫大学Check Point信息安全研究所的帮助下完成，并于2019年11月向飞利浦与Signify揭露。Signify确认其产品存在漏洞后开发了修补程序，该修补程序已透过自动更新升级相关产品。Check Point建议此产品使用者主动检查是否已自动更新，以确保产品升级至最新韧体。

Philips Hue技术长George Yianni表示，我们尽一切努力确保产品安全，保护使用者隐私不受侵犯。谢谢Check Point的揭露及合作，才能及时推出必要的修补程序进而避免使用者可能面临的风险。

此项技术由Check Point收购的以色列新创公司Cymplify提供，透过on-device防护，Check Point可帮助企业免于针对设备发动的攻击威胁。