毒科技说 篇六：飞利浦Hue出现漏洞，黑客可以控制单个灯泡，并可能升级到网络

最近，飞利浦Hue出现漏洞，使黑客可以控制单个灯泡，随意打开或关闭它们，以及更改颜色和亮度。可以使用带无线电发射器的笔记本电脑远程完成此操作。

虽然这种风险仍然存在，但该公司已采取措施阻止了升级漏洞，该漏洞以前使攻击者可以入侵Hue桥，并从那里攻击网络的其余部分，包括与其连接的任何PC。

该漏洞是在Philips Hue灯泡和其他智能家居设备使用的Zigbee通信协议中发现的。亚马逊Echo Plus，三星SmartThings，贝尔金WeMo，蜂巢主动加热和配件，耶鲁智能锁，霍尼韦尔恒温器，博世安防系统，宜家Tradfri，三星Comcast Xfinity Box等也使用Zigbee。

Check Point安全研究人员发现了一种方法，可以通过控制单个灯泡来扩展攻击，以接管整个网络。升级过程如下：

1、攻击者使用原始漏洞来控制一个灯泡。

2、用户看到随机行为，也无法自己控制灯泡。

3、显而易见的故障排除步骤是删除灯泡，然后再次扫描，然后重新添加？

4、现在重新添加它可以使灯泡中的恶意软件访问Hue桥。

5、从那里，它可以传播，包括传播到连接的PC。

一旦攻击者可以访问连接的PC，他们就可以安装诸如键盘记录程序和勒索软件之类的东西。

当然，Check Point负责任，将其发现结果透露给了Philips Hue品牌的所有者Signify。现在有可用的补丁程序。建议用户检查Hue应用程序以查看是否有可用的更新，如果有，请安装它们。

请注意，无法修补允许控制单个灯泡的原始漏洞，因为这将涉及灯泡本身的硬件更改。但是安装此更新将确保它不会传播到网络上的其他设备。

Check Point表示，对于使用Hue灯泡的企业来说，保护自己尤为重要。“我们很多人都知道物联网设备可能会带来安全风险，但是这项研究表明，即使是最平凡，看似'笨拙'的设备（例如灯泡）也可以被黑客利用并用于接管网络或植入恶意软件，” Check Point Research网络研究主管Yaniv Balmas说。 

“至关重要的是，组织和个人必须使用最新的补丁程序更新设备并将其与网络上的其他计算机分开，以保护自己免受这些可能的攻击，以限制可能的恶意软件传播。在当今复杂的网络攻击环境中，我们不能忽视与网络连接的任何事物的安全性。”Philips Hue感谢Check Point的负责任的披露。