来自SteelSeries的评论更新。
就在世人得知此事的第二天雷蛇游戏鼠标可以用来接管Windows电脑在美国，有消息称SteelSeries的游戏键盘、鼠标、耳机甚至鼠标垫也可以使用同样的方法。
和雷蛇鼠标一样，实际上是Windows桌面应用程序造成了问题。这是因为它在安装期间无需首先请求系统管理员的许可就可以获得系统范围的特权。
这个漏洞是由安全研究员劳伦斯·阿默发现的，他受到雷蛇问题的启发。
这不仅仅是关于雷蛇…这对所有人来说都是可能的。只是另一个priv_escalation @SteelSeries https://t.co/S2sIa1Lvjv pic.twitter.com/E3NPQnxqo22021年8月23日
在安装过程中，使用Windows 10(可能还有Windows 11) PC的低级用户可以利用这个漏洞获得完全的系统控制权。
在网络安全术语中，这被称为特权升级或特权升级/提升。它指的是进程或用户获得了他们不应该拥有的能力。
然而，这个缺陷不是SteelSeries或Razer的错。这些公司只是想尽快安装他们的软件。
这是微软的问题，因为Windows并没有区分硬件驱动程序(通常不需要管理员权限来安装)和外设相关的桌面软件(应该需要管理员权限)。
微软需要在出现更多这样的问题之前解决这种特权升级的情况，因为它们几乎肯定会出现。
你能做什么
为了避免你的电脑被游戏外设弄伤，当你离开你的办公桌时，确保你锁定了你的工作场所电脑的屏幕。
家庭电脑受到这种攻击的威胁较小，因为周围的潜在用户较少。但是当你有很多同伴的时候，你可能想要关掉你的电脑。
要真正确保这不会发生在您的机器上，请以管理员身份登录，转到系统>设置> About，然后单击高级系统设置链接。这将生成一个标有“系统属性”的框。选择“硬件”选项卡，然后点击“设备安装设置”按钮。
在接下来的弹出窗口中，标题为“您是否想要自动下载制造商的应用程序和自定义图标以供您的设备使用?”，选择标签为“否(您的设备可能无法正常工作)”的单选按钮。
正如你可能想象的那样，采用这种更严格的方式可能会安装新的硬件——不仅仅是游戏鼠标和键盘，还有打印机、耳机甚至USB安全密钥-虽然不是不可能，但要费劲一些。(由于Paul Ducklin在Sophos的裸体安全博客上向我们展示了如何做到这一点。)
这个“黑客”是如何工作的
通常，安装一个系统范围的应用程序需要管理员权限，然后才能开始进程。当你从公司网站上下载SteelSeries或Razer Synapse桌面软件并试图安装时，就会发生这种情况。
系统会提示您请求OK(如果您已经以管理员身份运行Windows)，或者请求管理员密码(如果您是有限用户)。
但在这些游戏外设或无线适配器的情况下，只要将其中一个外设插入Windows机器，Windows就会上网寻找所需的驱动软件和可选的配套桌面应用程序。下载桌面软件并开始安装过程，不需要任何管理员权限。
当安装过程正在运行时，您可以从安装程序界面打开链接以打开文件资源管理器窗口。然后，您可以右键单击这些文件资源管理器窗口以打开命令行窗口，就像您在任何资源管理器窗口中所做的那样。
但在这种情况下，命令行窗口将以完全的系统权限运行，并具有安装、删除或更改整个PC上的任何文件或程序的能力。
这是一个非常小的加密狗
要做到这一点，攻击者只需要Razer或SteelSeries无线鼠标或键盘上的USB适配器。
事实上,一个android工具已经发明了一种可以欺骗个人电脑，让他们误以为是Razer或SteelSeries的设备。拥有该工具的人可以将他们的手机连接到工作场所任何Windows电脑的USB端口，以获得完全的系统特权，并在公司网络中获得有价值的立足点。
把普通的u盘重新编程，让电脑以为它们是雷蛇(Razer)或SteelSeries软件狗，也不是那么困难。然后，你可以把它们放在公司的停车场，期待着一些好奇的员工插进去。
同样，微软需要做的是让Windows区分必要的设备驱动程序和设备附带的可选应用程序。现在它对两者都一视同仁。
Windows也可以在安装设备驱动程序之前要求管理员权限，这可能是它一直以来应该做的。
更新:来自SteelSeries的评论
SteelSeries的发言人联系了Tom's Guide，并向我们提供了以下声明:
“我们已经意识到这个问题，并主动禁用了在插入新的SteelSeries设备时触发的SteelSeries安装程序。这立即消除了被利用的机会，我们正在进行软件更新，将永久解决这个问题，并将很快发布。”
