Специалисты компании Tarlogic Security обнаружили недокументированные команды в микрочипе ESP32, который используется более чем в миллиарде «умных» устройств по всему миру.
ESP32 разрабатывается китайской компаний Espressif и широко применяется в IoT-устройствах для обеспечения связи по Wi-Fi и Bluetooth.
Исследователи выявили в общей сложности 29 скрытых команд в прошивке микрочипа, с помощью которых можно манипулировать памятью устройства (чтение и запись в RAM и флеш-память), подделывать MAC-адреса и внедрять вредоносные пакеты данных.
Эксплуатация этого «бэкдора» (CVE-2025-27840) позволяет злоумышленникам получить полный контроль над устройствами незаметно для пользователей, а также обходить системы аудита кода и осуществлять атаки на другие подключённые устройства в сети, включая мобильные телефоны, компьютеры, умные замки и медицинское оборудование.
Для детектирования этих скрытых команд исследователи разработали специальный драйвер, позволяющий напрямую взаимодействовать с аппаратным обеспечением вне зависимости от операционной системы.
Этот инструмент значительно упростил обнаружение уязвимостей и потенциального веткора атаки.
Обычно использование скрытых команд требует физического доступа к устройству, однако исследователи предупреждают о возможных сценариях удалённой эксплуатации через вредоносные прошивки или скомпрометированные обновления.
Компания Espressif пока публично не прокомментировала наличие скрытых команд в своих устройствах.
Комментарий ведущего эксперта InfoWatch Андрея Прозорова:
«Это один из самых распространенных сценариев утечки информации. Служащие, пытаясь упростить себе работу, высылают всем получателям один общий файл, а не персональные письма каждому. Удобство конечного пользователя часто идет вразрез даже с элементарными нормами и требованиями по защите информации. Чтобы избежать повторения аналогичного инцидента, следует уделить особое внимание обучению и повышению осведомленности персонала».