• 發布單位:TWCERT/CC
• 更新日期:2019-03-22
• 點閱次數:760

1. 一款名為 KeySweeper 的鍵盤監聽裝置偽裝成普通 USB 充電器，但其內含可秘密監聽、記錄和解密經由 Microsoft 無線鍵盤輸入的資料的微控制器。
2. FBI也建議企業盡量避免使用無線鍵盤，以免遭受這類透過無線傳輸未加密訊息所發動的攻擊。 無線鍵盤、滑鼠因為方便易攜，是不少人出外工作首選，但近期美國 FBI 警告企業和用戶小心一款名為 KeySweeper 的鍵盤監聽裝置，該裝置表面上是一個普通 USB 充電器，實則駭客可利用內建的 Arduino 微控制器，秘密監聽、記錄和解密經由 Microsoft 無線鍵盤輸入的資料，該裝置還包括一個網頁介面以便即時監控，並可以透過SMS將記錄的用戶名稱、密碼及所登入網站傳送回監聽者手中。KeySweeper 還內建可循環充電電池，即使遭監聽者察覺有異將裝置從插座上拔走仍能繼續運作；而且充電器上的 USB 接口確實可以用作充電，加強了 KeySweeper 的偽裝令人不易察覺。KeySweeper 為去年白帽駭客 Samy Kamkar所製作，用於驗證 Microsoft 無線鍵盤上存在的安全漏洞。針對此事件，Microsoft指出，Microsoft 的 Bluetooth 鍵盤並不受到KeySweeper的威脅，而2011年後所生產的無線鍵盤由於使用了AES加密技術，也不必擔心被竊聽。
由於 Samy Kamkar 在示範其概念驗證同時亦公佈了 KeySweeper 的原理和詳細製造方法，可能會導致其他駭客和有心人士利用或改良裝置進行非法行為，因此 FBI 發出警告提醒企業需小心防範，若將這些裝置放置到辦公室或其他使用無線裝置的地點，犯罪分子將有機會竊取知識產權、商業機密、個人身份資料及其他敏感資料，尤其是該裝置與一般的 USB 充電器無異，一旦成功裝設便難以發現。FBI也建議企業盡量避免使用無線鍵盤，以免遭受這類透過無線傳輸未加密訊息所發動的攻擊。

參考連結： http://unwire.pro/2016/05/25/beware-of-fake-usb-chargers-that-wirelessly-record-everything-you-type-fbi-warns/news/