Руководитель отдела компьютерной безопасности одной из пенсильванских компаний Эрон Вивер (Aaron Weaver) открыл способ, заставляющий благодаря малоизвестной функции заставлять принтер выводить на печать рекламу или любой другой материал практически через любой браузер. Теоретически раскрытая функция может делать более опасные вещи, например посылать факс или форматировать жесткий диск принтера. Вивер описал метод атаки на портале Ha.ckers.org и назвал его "межсайтовой печатью" по аналогии с атаками межсайтового скриптинга (CSS).
Для осуществления несанкционированной печати пользователь может посетить как вредоносный, так и казалось бы безопасный сайт, уязвимый к атакам CSS. Хакер посылает браузеру код JavaScript , определяющий наличие принтера и запускающий процесс распечатывания. Вивер успешно опробовал уязвимость в Internet Explorer и Mozilla. Впрочем, рядовые пользователи могут быть спокойны за свои принтеры – метод Вивера действует только для сетевых принтеров, которые как правило используются лишь в компаниях. Атака возможна благодаря тому, что большинство браузеров способно подключиться к сетевому порту, используемому принтерами для поиска новых заданий.
По словам владельца Ha.ckers.org и руководителя консалтинговой компании SecTheory Роберта Хансена (Robert Hansen), до сих пор случаев осуществления атак на принтеры зарегистрировано не было, хотя в будущем их нельзя исключить. Дело может принять совсем другой оборот, если хакерам удастся заставить принтеры пересылать информацию о своей работе по Интернету. Исследователи безопасности уже продемонстрировали, что браузер способен "открывать ворота" для прослушки разговоров по VoIP или получения почты определенного пользователя. Разработчики браузеров были уведомлены о раскрытой возможности.
При всем новшестве раскрытый метод нельзя назвать чрезмерно опасным для пользователя или эффективным для инициатора атаки, ведь финансовую выгоду, которая является сегодня главным стимулом для хакеров, извлечь из атаки принтера невозможно, а удаленная распечатка спама явно не скажется положительно на репутации рекламируемых товаров или услуг.
Комментарии (0)