I en demonstrasjon på Chaos Computer Clubs årlige hackersamling viste sikkerhetsforsker Ang Cui i romjulen fram to oppsiktsvekkende angrep.
Det én time lange foredraget «Print me if you dare» med undertittelen «firmware modification attacks and the rise of printer malware» er forklarende nok.
Temaet bør tjene som en vekker for de som måtte tro at man kan avverge alvorlige sikkerhetstrusler kun ved å sikre bedriftens servere og arbeidsstasjoner.
Forgiftet skrivere
Forskeren viste hvordan flere hundre millioner HP-skrivere lot seg infisere, simpelthen ved å sende dem ondsinnet kode i en utskriftsjobb eller ved å koble seg direkte til enhetene over nettet.
Med såkalt omvendt utvikling, eller «reverse engineering», har Cui funnet en metode for å manipulere skivernes proprietære operativsystem via dens oppdateringsmekanisme.
Full kontroll
Ved ett tilfelle endret han en skriver slik at alle fremtidige utskrifter ble kopiert og i det stille sendt videre til en fremmed epostadresse.
Den andre demonstrasjonen var om mulig enda skumlere.
Fra utsiden tok han kontroll over en nettverkstilkoblet skriver via et forgiftet dokument. Skriveren ble deretter brukt for å skanne lokalnettet etter sårbare pc-er, kapre en maskin og åpne den for full tilgang som omgikk brannmuren.
Ang Cui har viet sin doktorgradutdannelse innen sikkerhet til forskning på forhold ved integrerte systemer, typisk et undervurdert område. Han mener det er grunn til å frykte at også andre produsenters skrivere kan ha lignende sårbarheter.
Oppdagelsen av sårbarheten på svært mange av HPs skrivere siden 2005 gjorde det nødvendig å si ifra til selskapet i god tid. Hewlett-Packard selger om lag 40 millioner enheter årlig og er med det verdens største leverandør. I Norge har de omtrent halve markedet.
Selskapet fikk og brukte en måned på å fjerne sårbarheten fra samtlige berørte modeller, som de oppgir å være 56 ulike skrivere.
Den viktige sikkerhetoppdateringen ble utgitt lille julaften, altså få dager før Ang Cuis foredrag, og skal i teorien sikre mot angrepet.
Ingen brannbombe
I forkant av de tekniske avsløringene i romjulen valgte Cui i fjor høst å lekke deler av funnet til amerikansk presse. Resultatet ble ikke helt som forventet.
En humoristisk Cui åpnet foredraget med hvordan dette førte til misforståelser. Historien endte opp med en serie artikler som feilaktig hevdet at HP-sårbarheten kunne føre til at skriverne begynte å brenne.
Foredraget er lagt ut på Youtube i sin helhet:
Øvrige kilder:
Cory Doctorow, I programmer
