什么是 Mousejacking 攻击，以及如何防御

如果您在计算机上使用无线键盘或鼠标，请注意存在被 mousejacking（鼠标劫持）的风险。借助这种技术，攻击者可能会使用一款售价 15 美元的 USB 无线电设备来发现易受攻击的设备，并在几分钟内接管您整个 Active Directory 。

在本期播客中，7 Minute Security 总裁兼信息安全顾问 Brian Johnson 将解释 mousejacking（鼠标劫持）是如何运作的，以及如何保护您的网络免受其侵害。以下是本期讨论的内容：

Mousejacking（鼠标劫持）如何工作

Brian 进行了一次渗透测试，以证明这种看似简单的攻击可能带来毁灭性的后果。要进入网络所需要的，只是一台廉价设备和一个容易制作的有效载荷。

当你在无线键盘上输入内容或移动无线鼠标时，描述这些操作的信息会通过无线方式发送到插在你电脑上的 USB 接收器（dongle）。在 Mousejacking（鼠标劫持）攻击中，攻击者的设备会扫描正在发送的无线数据包；一旦发现目标数据包，它就可以冒充鼠标或键盘，并向接收器发送自己的信号。你可能会察觉到一些异常情况，比如出现了额外的按键输入，或鼠标意外移动，但可能已经为时已晚；即使只是少数几次按键或鼠标点击，也可能足以执行攻击，例如安装恶意软件或从你的电脑中复制文件。

攻击者甚至不需要靠得很近就能接管电脑——该攻击可以在距离最多 100 米的地方执行。不过，只有正在运行的工作站才可能被攻破。

Active Directory 面临风险

那么，mousejacking（鼠标劫持）攻击可能造成哪些损害呢？一方面，攻击者可以像键盘记录器（keylogger）程序一样，在按键信息传输到 USB 加密狗（dongle）的过程中对你的按键进行窃听。结果是，攻击者可能能够获取诸如你的用户名、密码和安全问题答案等敏感数据，以及诸如信用卡号码之类的个人信息。另一方面，攻击者还可以向你的计算机发送按键输入，仿佛你就是自己输入的。通过按键注入（keystroke injection），攻击者可以安装 rootkit（rootkit）或安装恶意软件，从而在你的网络中取得立足点。

最糟糕的情况是对管理员账户实施 mousejacking（鼠标劫持）攻击——它可能通过 Active Directory 破坏你的网络安全。例如，如果你是以 Domain Admin 账户登录的，mousejacker 就可能使用按键注入（keystroke injection）来创建新的用户，并将这些用户加入到你公司 Active Directory 中的 Domain Admins 组，从而几乎获得对你的网络的无限控制权和访问权限。

事实上，这些风险之大，当 Brian 向客户展示渗透测试（pentests）的结果时，他们决定更改关于使用无线设备的政策。

防御方法

许多流行的键盘和鼠标都存在风险，因此你需要做的第一件事就是检查自己是否有任何容易受攻击的设备。在这里 你可以查看已知容易受到鼠标劫持（mousejacking）攻击影响的设备清单。该漏洞只能由制造商在其端进行修复，因此你所能做的就是将每一台存在漏洞的设备替换为安全的设备。

与此同时，请务必遵循最佳实践：即使只离开一会儿（几分钟），也要在离开电脑时对其进行锁定。还记得鼠标劫持（mousejacking）攻击能有多快执行吗？如果你在离开去拿咖啡时不把电脑锁定，攻击者就会获得几分钟的时间来利用该漏洞并在不被察觉的情况下入侵你的网络。

接下来，你应该问自己：即使被攻击了，你是否也会知道？你需要多久才能发现这次攻击？你能否在足够快的时间内做出响应，从而尽量减少损失？

防御鼠标劫持（mousejacking）——以及其他类型攻击——的一项关键策略，是跟踪 Active Directory 的变更情况，尤其要关注将成员添加到诸如 Domain Admins 这类高度特权组的行为。及时收到关键修改的告警，可以让你迅速回滚不当的变更，从而在攻击的早期阶段将其阻断，并限制其影响。

了解更多信息

想了解鼠标劫持（mousejacking）攻击的工作原理以及如何防御，请收听播客节目： https://7ms.us/7ms-355-mousejacking/