Để làm cho mọi việc trở nên thú vị hơn, Cui muốn tấn công mã phần mềm
của máy in, đây là chương trình được nhúng trong một con chip bên trong
máy in. Không giống như các máy tính cá nhân và thiết bị di động truyền
thống, ti-vi kỹ thuật số và các thiết bị điện tử “thông minh” khác không có
sức mạnh hoặc tài nguyên xử lý để chạy hệ điều hành đầy đủ như Android,
Windows, và iOS. Thay vào đó, các thiết bị này sử dụng những gì được gọi
là hệ điều hành thời gian thực (RTOS), được lưu trữ trên các chip riêng lẻ
bên trong thiết bị (thường được gọi là fireware). Những chip này chỉ lưu trữ
các lệnh cần thiết để vận hành hệ thống và không cần nhiều thứ khác. Thỉnh
thoảng, ngay cả những lệnh đơn giản này cũng cần được nhà sản xuất hoặc
nhà cung cấp cập nhật bằng cách di chuyển hoặc thay thế các chip. Do điều
này được thực hiện rất không thường xuyên, rõ ràng là nhiều nhà sản xuất
chỉ đơn giản là không xây dựng trong các biện pháp an ninh thích hợp. Việc
thiếu cập nhật là hướng mà Cui quyết định theo đuổi cho cuộc tấn công của
mình.
Cui muốn xem điều gì sẽ xảy ra nếu anh tấn công định dạng tệp mà HP sử
dụng để cập nhật phần mềm, và anh phát hiện ra rằng HP không kiểm tra
tính hợp lệ của từng bản cập nhật. Vì vậy, anh đã tạo ra phần mềm máy in
riêng và chiếc máy in chấp nhận nó. Mọi chuyện chỉ đơn giản có vậy. Không
có xác thực nào ở phía máy in rằng bản cập nhật đến từ HP. Máy in chỉ quan
tâm rằng mã chương trình có định dạng mong muốn.
Bây giờ Cui đã được tự do khám phá.
Trong một thí nghiệm nổi tiếng, Cui cho biết anh có thể bật thanh nhiệt áp,
một phần của máy in làm nóng giấy sau khi mực đã được in, và cứ để nó ở
chế độ bật – điều này có thể khiến máy in bắt lửa. Nhà cung cấp, không phải
là HP, ngay lập tức đáp lại rằng có một lỗi an toàn nhiệt trong thanh nhiệt áp,
có nghĩa là máy in không thể quá nóng. Tuy nhiên, đó là điểm Cui nhắm tới
– anh đã tắt được tính năng an toàn nhiệt để máy có thể bắt lửa.
Theo kết quả của những thí nghiệm này, Cui và cố vấn của anh, Salvatore
Stolfo, lập luận rằng máy in là những liên kết yếu trong bất kỳ tổ chức hay
