Apple, Google, Microsoft, Samsung और अन्य कंपनियों ने लोकप्रिय कार्यक्रमों और उपकरणों में हैकर टूल्स और दर्जनों 0day कमजोरियों के विस्तृत विवरण के साथ CIA दस्तावेजों के लीक होने का तुरंत जवाब दिया।

पिछली रात को रिपोर्ट करने वाले लोगों में से एक नोटपैड ++ टेक्स्ट एडिटर के डेवलपर्स थे, जिसे सीआईए ने डीएलओ को खराब करने के माध्यम से शोषण किया था। यह संपादक विभिन्न प्रोग्रामिंग भाषाओं के लिए वाक्य रचना हाइलाइटिंग का समर्थन करता है, इसलिए कुछ डेवलपर्स भी इसका उपयोग करते हैं।

वॉल्ट 7 डॉक्स ने नोटपैड ++ में डीएलएल के खराब होने का उल्लेख किया। अधिक सटीक रूप से, शोषण के डेवलपर्स या परीक्षकों में से एक व्यक्ति के शोषण के काम के साथ एक छोटी सी समस्या के बारे में शिकायत करता है। जैसा कि इस नोट में बताया गया है, नोटपैड ++ स्किंटिला को डाउनलोड करता है - "कोड एडिटिंग कंपोनेंट" (एक अलग प्रोजेक्ट) डायनामिक लाइब्रेरी SciLexer.dll से, निष्पादन योग्य फ़ाइल से सटे। इस लाइब्रेरी से केवल एक फ़ंक्शन का निर्यात किया जाता है जिसे Scintilla_DirectFunction कहा जाता है।

एक्सपोर्ट फ़ंक्शन के प्रोटोटाइप को निर्धारित करने के लिए विशेषज्ञ खुले स्रोत नोटपैड ++ कोड को उद्धृत करता है:

 sptr_t __stdcall Scintilla_DirectFunction(ScintillaWin * sci, UINT iMessage, uptr_t wParam, sptr_t lParam) 

प्रोग्रामर या परीक्षक स्वीकार करता है कि वह किसी भी तरह से इस फ़ंक्शन को एक्सेस करने का प्रबंधन नहीं करता है, हालांकि उसने अतिरिक्त प्लगइन्स भी स्थापित किए हैं जो कि सिंटिला के सीधे संपर्क में होना चाहिए। उसी समय, वह यह स्पष्ट करता है कि मौजूदा प्रोटोटाइप [SciLexer.dll पुस्तकालय के प्रतिस्थापन के साथ] ठीक काम करता है - और इस आशा को व्यक्त करता है कि उसके सहयोगी इस समस्या को भी हल करेंगे।

नोटपैड ++ के डेवलपर्स का शाब्दिक अर्थ है कि दस्तावेजों के लीक होने के एक दिन बाद नोटपैड ++ 7.3.3 का नया संस्करण जारी किया गया, जहां उन्होंने मूल DLL को CIA पुस्तकालय SciLexer.dll के साथ बदलने की समस्या को हल किया , जो पृष्ठभूमि में डेटा संग्रह करता है।

समस्या को मौलिक रूप से हल किया गया था। अब संस्करण 7.3.3 से, संपादक इसे डाउनलोड करने से पहले SciLexer.dll पुस्तकालय के प्रमाण पत्र की जांच करेगा। यदि प्रमाणपत्र गायब या अमान्य है, तो लाइब्रेरी लोड नहीं होगी - और नोटपैड ++ संपादक स्वयं काम नहीं करेगा।

प्रमाणपत्र सत्यापन पूर्ण सुरक्षा नहीं है। कार्यक्रम के डेवलपर्स ने सही ढंग से नोटिस किया कि यदि कोई हमलावर कंप्यूटर तक पहुंच प्राप्त करता है, तो वह औपचारिक रूप से सिस्टम घटकों के साथ इस पर कुछ भी कर सकता है। यह सुरक्षा केवल टेक्स्ट एडिटर को दुर्भावनापूर्ण लाइब्रेरी लोड करने से रोकती है। लेकिन कोई भी सीआईए को बदलने के लिए परेशान नहीं करता है, उदाहरण के लिए, पुस्तकालय नहीं, लेकिन तुरंत पूरी निष्पादन योग्य फ़ाइल notepad++.exe , अगर सीआईए कंप्यूटर को नियंत्रित करता है।

डेवलपर्स इस सुरक्षात्मक उपाय की तुलना सामने के दरवाजे पर ताला लगाने से करते हैं। यह स्पष्ट है कि दरवाजे पर ताला उन लोगों के खिलाफ सुरक्षा नहीं करता है, जिन्हें वास्तव में अंदर जाने की आवश्यकता होती है, लेकिन फिर भी हर बार घर से बाहर निकलने पर दरवाजा बंद करने की प्रथा है।

अन्य लोकप्रिय कार्यक्रम

नोटपैड ++ के लिए हैक फाइन डाइनिंग ऑपरेशन का हिस्सा था, जिसमें सीआईए ने विभिन्न लोकप्रिय कार्यक्रमों के लिए कारनामे जारी किए। कुल मिलाकर, फाइन डाइनिंग सूची में 24 अनुप्रयोगों के लिए मॉड्यूल सूचीबद्ध हैं । उनमें से ज्यादातर के लिए, DLL स्पूफिंग का प्रदर्शन किया गया था।

• वीएलसी प्लेयर पोर्टेबल
• इरफान का नजरिया
• क्रोम पोर्टेबल
• ओपेरा पोर्टेबल
• फ़ायरफ़ॉक्स पोर्टेबल
• क्लैमविन पोर्टेबल
• Kaspersky TDSS किलर पोर्टेबल
• मैकेफी स्टिंगर पोर्टेबल
• सोफोस वायरस हटाना
• थंडरबर्ड पोर्टेबल
• ओपेरा मेल
• ललित पाठक
• लिब्रे कार्यालय पोर्टेबल
• Prezi
• बैबल पैड
• नोटपैड ++
• स्काइप
• Iperius बैकअप
• सैंडिस्क सुरक्षित पहुंच
• U3 सॉफ्टवेयर
• 2048
• LBreakout2
• 7-ज़िप पोर्टेबल
• पोर्टेबल लिनक्स सीएमडी प्रॉम्प्ट

बेशक, सीआईए के पास बहुत अधिक उन्नत कारनामे हैं। उदाहरण के लिए, ऑपरेटिंग सिस्टम, BIOS संक्रमण, आदि के कर्नेल में रूटकिट की शुरुआत के साथ। लेकिन इस उदाहरण से पता चलता है कि स्काउट्स ने DLL को खराब करने वाले सरल और कम तकनीकी तरीकों को नहीं छोड़ा। शायद इन सरल कारनामों को नौसिखिए प्रशिक्षुओं या तीसरे पक्ष के ठेकेदारों द्वारा विकसित किया गया था।

यह स्पष्ट है कि सरकार द्वारा स्वयं को निगरानी से पूरी तरह से सुरक्षित करना असंभव है - उनके पास बहुत अधिक संसाधन हैं। लेकिन अगर यह किसी प्रकार की भेद्यता को बंद करने की हमारी शक्ति के भीतर है, तो प्रक्रिया की सामान्य व्यर्थता के बावजूद, आपको ऐसा करने की आवश्यकता है।

एक तरह से या किसी अन्य, लेकिन अन्य सॉफ़्टवेयर विक्रेताओं ने किए गए उपायों पर भी सूचना दी।

ऐप्पल ने कहा कि दस्तावेजों में उल्लिखित इसके उपकरणों और सॉफ्टवेयरों में कई कमजोरियां अब प्रासंगिक नहीं हैं, अर्थात्, आईओएस के नवीनतम संस्करण में अनुपस्थित हैं। जाहिर है, शेष "छेद" को अगले रिलीज में पैच किया जाएगा।

Microsoft ने टिप्पणी की : "हम दस्तावेजों के बारे में जानते हैं और उनका अध्ययन करते हैं।"

सैमसंग , जिसका सीआईए ने F8000 श्रृंखला टीवी हैक किया, ने कहा : "हम रिपोर्ट से अवगत हैं और इस मुद्दे पर तत्काल अध्ययन कर रहे हैं।"

Google के सूचना सुरक्षा और गोपनीयता निदेशक ने विश्वास व्यक्त किया कि नवीनतम Chrome और Android सुरक्षा अपडेट उपयोगकर्ताओं को दस्तावेज़ों में उल्लिखित अधिकांश भेद्यताओं से बचाते हैं: "हमारा विश्लेषण जारी है और हम किसी भी आवश्यक सुरक्षा उपायों को लागू करेंगे।"

UPD: जूलियन असांजे ने आज कहा कि प्रौद्योगिकी कंपनियों को सार्वजनिक रूप से उपलब्ध होने से पहले सीआईए के कारनामों तक विशेष पहुंच होगी।