Теперь хакеры атакуют через принтер

Менеджер по безопасности в области финансов Аарон Вивер сделал открытие, которое, возможно, изменит мир информационной безопасности: он нашел способ заспамить принтер через интернет. Статья под названием «межсайтовая печать» (cross-site printing) была опубликована во вторник на сайте Ha.ckers.org.
Используя малоизвестную функцию многих браузеров, Вивер может заставить веб-страницу запустить печать на практически любом принтере в сети жертвы. Веб-сайт способен посылать на печать рекламу, а теоретически — заставлять принтер выполнять более опасные операции, например, отправку факса, форматирование жесткого диска или загрузку вредоносного кода. Чтобы выполнить эту атаку, жертва должна посетить либо сайт злоумышленника, либо страницу, которая подвержена распространенной в сети уязвимости межсайтового скриптинга (XSS). Хакер посылает браузеру код на JavaScript, который определяет местонахождение принтера и посылает задание на печать. Вивер успешно провел эту атаку на браузерах Intenet Explorer и Firefox.
Поскольку атаковать можно только сетевые принтеры, принтер, подключенный непосредственно к ПК, уязвимости не подвержен. Атака возможна потому, что многие браузеры могут подключаться к порту, который большая часть принтеров использует для получения новых задач на печать. Таким образом, браузер открывает путь, по которому злоумышленники попадают туда, куда не должны иметь доступа: к принтерам в локальной сети. Ранее атаки подобного плана еще не проводились.
Разработчики браузеров уже в курсе проблемы. Firefox блокирует часть портов, на которых используются уязвимости, но и оставляет многие порты открытыми, потому что разработчики часто используют их для тестовых целей.