सुरक्षा सप्ताह 29. हैकिंग रेडिट, क्रिप्टोक्यूरेंसी और मिक्रोटिक राउटर के लिए एक वॉलेट

पाचन में विस्तृत विवरण के योग्य सूचना सुरक्षा के बारे में पिछले सप्ताह कोई खबर नहीं थी। इसका मतलब यह नहीं है कि कुछ भी नहीं हुआ - ऐसी स्थिति पूरी तरह से असंभव लगती है। जिसने अभी हैक नहीं किया। खैर, एक सैद्धांतिक नेटवर्क स्पेक्टर जैसे हमले के बारे में पिछले ओपस के मुआवजे में आज हम दो वास्तविक हमलों और घोड़ों के साथ एक सर्कस के बारे में बात करेंगे जिसमें जॉन मैकेफी की भागीदारी होगी।

रेडिट को बस हैक किया गया था। वह है, नहीं, ऐसा नहीं है। एक विशिष्ट समुदाय के रूप में Reddit, और एक ही समय में बहुत लोकप्रिय, संभवतः साइबरबैटक्स के सभी संभव प्रकारों के संपर्क में है और वास्तव में बहुत अच्छी तरह से संरक्षित है। यह निष्कर्ष एक हालिया सफल हमले के बारे में पूरी तरह से ईमानदार कहानी से निकाला जा सकता है, और इस तथ्य से कि अतीत में ऐसी कोई कहानी नहीं है। हमला जटिल था, लेकिन सफल हैक के कारण का वर्णन करना आसान है: उन्होंने दो-कारक प्रमाणीकरण को दरकिनार कर दिया।

Reddit ने घटना का विस्तृत विवरण (कप्तान!) Reddit पर पोस्ट किया। यहां आप रूसी में रिटेलिंग पढ़ सकते हैं। कंपनी के कर्मचारी 19 जून को हुए हमले से अवगत हुए। 14 जून से 18 जून तक, हमलावरों के पास संगठन के आंतरिक बुनियादी ढांचे तक आंशिक पहुंच थी, जिससे कई कर्मचारी खाते टूट गए। महत्वपूर्ण जानकारी तक पहुंच वाले सभी खातों को 2FA द्वारा संरक्षित किया गया था, लेकिन वे एसएमएस अवरोधन का उपयोग करके इसे प्राप्त करने में कामयाब रहे।

इस अवरोधन के विवरण का खुलासा नहीं किया गया था, हालांकि वायर्ड वेबसाइट पर एक नोट में डुप्लिकेट सिम कार्ड होने का सुझाव दिया गया था। इस तरह के हमले का अधिक तेज़ी से पता लगाया जा सकता है, खासकर अगर कई खाते चोरी हो गए। एक तरह से या दूसरे, पटाखे आंशिक रूप से क्लाउड स्टोरेज तक पहुंचते हैं। वहां उन्होंने 2007 तक Reddit उपयोगकर्ताओं के लॉगिन, पते और नमक-हैशेड पासवर्ड के साथ एक डेटाबेस एक्सेस किया (Reddit 2005 में लॉन्च किया गया था)। सभी उपयोगकर्ता संदेश वहां संग्रहीत किए गए थे, जिनमें निजी संदेश भी शामिल थे, लेकिन केवल साइट के अस्तित्व के पहले दो वर्षों में।

इस प्रकार, Reddit के शुरुआती उपयोगकर्ताओं को सबसे अधिक नुकसान उठाना पड़ा। इसके अलावा, मेल सर्वर लॉग्स तक पहुंच प्राप्त की गई थी। उनसे आप यह पता कर सकते हैं कि 3 जून से 17 जून 2018 तक साइट की मेलिंग सूची किसे प्राप्त हुई। समस्या यह है कि इन लॉग्स का उपयोग एक मेल पते के साथ Reddit पर एक उपयोगकर्ता नाम को जोड़ने के लिए किया जा सकता है: इस जानकारी का उपयोग बाद में किया जा सकता है - उदाहरण के लिए, फ़िशिंग हमलों के लिए। क्या किया गया है? भौतिक टोकन का उपयोग करके दो-कारक प्रमाणीकरण में संक्रमण सहित पुन: हमले को रोकने के लिए उपाय किए गए हैं। टोकन का उपयोग करके प्राधिकरण के लिए धन्यवाद, 2017 की शुरुआत के बाद से, Google ने एक भी सफल फ़िशिंग हमले को रिकॉर्ड नहीं किया ।


200 हजार मिक्रोटिक राउटर एक खनिक द्वारा संक्रमित हैं
→ समाचार

इस वर्ष के अप्रैल में, एक शून्य-दिन की भेद्यता की खोज की गई और मिक्रोटिक राउटर पर बंद कर दिया गया । विनबॉक्स रिमोट कंट्रोल सिस्टम के कार्यान्वयन में एक त्रुटि ने उपयोगकर्ता डेटाबेस को निकालना संभव बना दिया जिसमें राउटर पर पूर्ण नियंत्रण हासिल करने के लिए पर्याप्त जानकारी थी। उस समय भेद्यता हमलावरों द्वारा पहले से ही शोषित थी, लेकिन हमले का पैमाना छोटा था। समस्या को कवर करने वाला पैच 24 घंटों के भीतर जारी किया गया था, लेकिन हर कोई जानता है कि राउटर के मालिक, यहां तक ​​कि पेशेवर भी, सॉफ़्टवेयर को कैसे अपडेट करते हैं।

पिछले हफ्ते, BleepingComputer वेबसाइट ने तीन अलग-अलग स्रोतों से जानकारी एकत्र की और अप्रैल भेद्यता का उपयोग करके हैक किए गए दो सौ हज़ार मिकरोटिक राउटरों को गिना गया और कॉइनहाइव क्रिप्टोक्यूरेंसी माइनर कोड को वेब पेजों में एम्बेड किया। यही है, हैक किए गए राउटर से जुड़े सभी उपयोगकर्ता खनन के लिए अपनी कंप्यूटिंग शक्ति को किराए पर लेना शुरू करते हैं। हमला दोनों तरीकों से काम करता है: यदि किसी वेबसाइट को "राउटर के पीछे" होस्ट किया जाता है, तो उसके आगंतुकों को साइट कोड में एक हानिकारक भार भी मिलता है। कुछ मामलों में, सभी वेब पेजों में माइनर कोड नहीं डाला गया था, लेकिन केवल राउटर द्वारा उत्पन्न किए गए लोगों में, उदाहरण के लिए, साइट तक पहुंच के बारे में त्रुटि संदेश। Shodan का IoT सर्च इंजन वेब से दिखाई देने वाले 1.7 मिलियन मिकरोटिक राउटर को अनुक्रमित करता है। इस आंकड़े के आधार पर, कोई भी पहले से संक्रमित डिवाइसों के गंभीर हिस्से को साझा कर सकता है, और क्रिप्टोक्यूरेंसी बॉटनेट के विस्तार के अवसरों को भी नोट कर सकता है।

क्रिप्टोक्यूरेंसी अटूट वॉलेट सागा


ठीक है, यह एक गाथा नहीं है, बल्कि एक मजाक है। अगर जॉन मैकाफी इसमें शामिल होता है तो राष्ट्रीय अर्थव्यवस्था का कोई भी क्षेत्र अधिक मज़ेदार हो जाता है। 27 जुलाई को, McAfee Security के संस्थापक, जिन्होंने हाल ही में सूचना सुरक्षा से लेकर क्रिप्टोकरेंसी तक सबका ध्यान अपनी ओर खींचा, ने Bitfi cryptocurrency wallet को हैक करने के लिए $ 100 हजार का इनाम घोषित किया।


Bitfi वॉलेट को पूरी तरह से सुरक्षित के रूप में विज्ञापित किया जाता है, लेकिन यह भी एक सुविधाजनक उपकरण है जो कि क्रिप्टोक्यूरेंसी एक्सेस कुंजी के साथ भंडारण और काम करने के लिए है। और जॉन मैकेफी खुद सक्रिय रूप से बिटफ़ी को एक पूरी तरह से अटूट उपकरण के रूप में बढ़ावा दे रहे हैं, इसलिए इनाम। मैकफी के बयान के कारण, दो कारणों से सुरक्षा विशेषज्ञ समुदाय के बीच निराशा बढ़ गई। सबसे पहले, यह कहना कि कुछ हैक नहीं किया जा सकता है खराब शिष्टाचार है। दूसरे, Bitfi पर्स के निर्माता द्वारा प्रस्तावित शर्तें मानक बग बाउंटी कार्यक्रम से बहुत दूर हैं। बिटिफ़ी को खरीदने के लिए प्रतिभागियों को आमंत्रित किया जाता है, जो पैसे की पहुंच देता है। यदि यह कुंजी चोरी हो सकती है, तो एक "चोरी हुई" क्रिप्टोक्यूरेंसी और ऊपर से सौ हजार डॉलर भी इनाम के रूप में गिनाए जाते हैं।


लेकिन वास्तविक सुरक्षा का इससे कोई लेना-देना नहीं है! आप डेटा एन्क्रिप्ट कर सकते हैं, इसे यूएसबी फ्लैश ड्राइव पर रख सकते हैं, और कोई भी इसे बिना चाबी के डिक्रिप्ट नहीं कर सकता है। लब्बोलुआब यह है कि संवेदनशील डेटा तक पहुंचने पर डिवाइस व्यवहार में कैसे मज़बूती से काम करता है। क्या ट्रांसमिशन के दौरान किसी गुप्त को रोकना संभव है? क्या मैं अपने वॉलेट तक पहुँचने के लिए पिन चुरा सकता हूँ? सिद्धांत रूप में, इस सवाल का जवाब देना आवश्यक है कि डिवाइस वास्तविक परिस्थितियों में कैसे काम करेगा, और न कि एन्क्रिप्टेड क्रिप्टो पैसे उस पर कितना अच्छा होगा।

ऐसा नहीं है कि जॉन मैकेफी और बिट्फी ने इसे पूरी तरह से रोक दिया। घोषणा के कुछ दिनों बाद, शर्तों को बनाए रखते हुए बटुए को तोड़ने का इनाम बढ़ाकर 250 हजार डॉलर कर दिया गया। पेनटेस्टपार्टर्स के ट्विटर शोधकर्ताओं ने पेनटेस्टपार्टर्स के दावों पर प्रतिस्पर्धा के लिए उन्हें दोषी ठहराया है। इसके जवाब में, पेनटेस्टपार्टर्स ने डिवाइस खरीदा और इसे असंतुष्ट कर दिया। अंदर एक थोड़ा स्ट्राइप्ड-डाउन स्मार्टफोन प्लेटफ़ॉर्म मीडियाटेक को संशोधित एंड्रॉइड के साथ मिला था, जिसमें सभी सस्ते चीनी स्मार्टफोन के "बिलकुल" बैकडोर ठेठ थे । जब एक स्वतंत्र डच शोधकर्ता ने डिवाइस पर सुपरयुसर अधिकार प्राप्त करने का एक काफी सरल तरीका पाया, तो बटुआ सुरक्षा के सवाल को बंद माना जा सकता है। लेकिन बिट्फी ने हार नहीं मानी:


फिर हमारे पास एक उपकरण है जिस पर कोई सॉफ्टवेयर और मेमोरी नहीं है। फिर रूट के अधिकार आपको बटुए को क्रैक करने की अनुमति नहीं देते हैं। हमें श्रद्धांजलि अर्पित करनी चाहिए: कुछ बिंदु पर, बिटफी ने ट्वीट के लिए जिम्मेदार एक निश्चित कर्मचारी के व्यवहार के लिए माफी मांगी, "मूर्ख स्वयं" टेम्पलेट के अनुसार सभी को जवाब देना बंद कर दिया, लेकिन यह बेहतर नहीं हुआ। प्रकाशन के समय, कहानी का विकास जारी है: शोधकर्ताओं ने क्रिप्टो वॉलेट को नष्ट कर दिया और एक सर्कल में एक प्रचार ट्रॉली में नई समस्याओं, बिट्फी और मैकएफी की सवारी का पता लगाया।

यह सब, ज़ाहिर है, अविश्वसनीय रूप से हास्यास्पद है अगर यह ग्रामीण डिस्को के स्तर पर सुरक्षा के बारे में चर्चा की गुणवत्ता को कम करने से थोड़ा दुखी नहीं था। क्रिप्टो-वॉलेट्स से लेकर स्मार्ट लॉक्स और कारों तक के उपकरणों के सुरक्षा मानकों को विशेष रूप से किसी के द्वारा परिभाषित नहीं किया गया है। यद्यपि सूचना सुरक्षा में शामिल अधिकांश लोग शालीनता मानकों का पालन करते हैं, कभी-कभी ऐसे "अटूट" बटुए, "अल्ट्रा-विश्वसनीय" ताले और विपणन कल्पनाओं के अन्य फल दिखाई देते हैं। हालांकि, वास्तविकता आमतौर पर सब कुछ अपनी जगह पर रखती है।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।