लोकप्रिय होला वीपीएन प्लगइन ने समझौता किया

क्रोम और एंड्रॉइड के लिए लोकप्रिय वीपीएन प्लगइन जिसे होला कहा जाता है, जिसका उपयोग दुनिया भर के 50 मिलियन से अधिक लोगों द्वारा किया जाता है, के साथ समझौता किया गया है । हमले ने MyEtherWallet के उपयोगकर्ताओं को लक्षित किया, जो ईथर धारकों के लिए सबसे बड़े ऑनलाइन वॉलेट में से एक है। हमला लगभग पांच घंटे तक चला और इस दौरान होला ने क्रिप्टोक्यूरेंसी की चोरी के उद्देश्य से MEW उपयोगकर्ताओं के बटुए के बारे में जानकारी एकत्र की।


वॉलेट प्रशासन से प्राप्त एकमात्र अनुशंसा में, यह सलाह दी जाती है कि आप एक नया MEW वॉलेट खोलें और यदि आप एक होला उपयोगकर्ता हैं और पिछले 24 घंटों में MyEtherWallet में कार्य किए हैं, तो अपने फंड को वहां स्थानांतरित करें।

पिछले चार महीनों में MyEtherWallet उपयोगकर्ताओं पर यह दूसरा हमला है। यह स्प्रिंग, हैकर्स ने MyEtherWallet का उपयोग करने वाले DNS सर्वर को क्रैक करने में कामयाब रहा , जिसने उपयोगकर्ताओं को सेंट पीटर्सबर्ग आईपी पते के साथ फ़िशिंग साइट पर पुनर्निर्देशित करने की अनुमति दी। तब कम से कम 215 ईटीएच चोरी हो गए थे। ऐसा माना जाता है कि इन दोनों हमलों के पीछे वही लोग हैं।

यह ध्यान देने योग्य है कि होला वीपीएन प्लगइन पहले 2015 में वापस समझौता किया गया था । तब होला उपयोगकर्ता बड़े पैमाने पर DDoS हमलों का संचालन करने में शामिल थे।

होला साइबर क्रिमिनल्स के लिए आकर्षक है, कनेक्शन स्थापित करने के लिए पीयर-टू-पीयर पीयर-टू-पीयर आर्किटेक्चर के उपयोग के साथ युग्मित प्लगइन की लोकप्रियता है। अत्यधिक लापरवाह विकास भी एक भूमिका निभाता है, जिससे हमलावरों के लिए कई कमजोरियां और खामियां पैदा हुई हैं। इसके अलावा, होला प्रशासन को नेटवर्क तक सशुल्क पहुंच प्रदान करने के मामले में बेहद लापरवाही दिखाई गई। 2015 में, डेवलपर्स ने कहा कि उन्होंने "रिपोर्ट के बाद कुछ घंटों के भीतर भेद्यता को समाप्त कर दिया", हालांकि, शोधकर्ताओं का समूह, जिन्होंने समस्या की ओर इशारा किया, इससे दृढ़ता से असहमत थे :

वे कहते हैं कि उन्होंने कुछ घंटों में भेद्यता तय की, लेकिन हम जानते हैं कि यह एक झूठ है। डेवलपर्स ने केवल हमारी सत्यापन विधि को तोड़ दिया, और उन्होंने खुद बताया कि भेद्यता तय हो गई थी। इसके अलावा, दो छेद नहीं थे, जैसा कि वे कहते हैं, लेकिन छह ।

2015 के संघर्ष में, यह प्लगइन के माध्यम से व्यक्तिगत डेटा की चोरी नहीं था। तब डेवलपर्स पर आपराधिक लापरवाही का आरोप लगाया गया था, संदिग्ध लोगों को नेटवर्क तक पहुंच और यहां तक ​​कि उनकी जानकारी के बिना उपयोगकर्ता की ओर से कोड को निष्पादित करने की क्षमता प्रदान करना।

टॉर उपयोगकर्ताओं के विपरीत, जो अक्सर जानते हैं कि वे क्या कर रहे हैं और वे क्या प्रदान करते हैं, बॉक्स प्लग-इन ने आम उपयोगकर्ताओं में लोकप्रियता हासिल की है जो पूरी तरह से यह भी नहीं समझ सकते हैं कि यह "मैजिक बटन" क्रोम में कैसे काम करता है - के लिए अवरुद्ध संसाधनों और सशर्त गुमनामी की पहुंच के रूप में केवल अंतिम प्रभाव महत्वपूर्ण है।