सुरक्षा सप्ताह 25: एवरनोट भेद्यता और सैकड़ों हैक किए गए ऑनलाइन स्टोर

गार्डियो विशेषज्ञों ने एवरनोट में एक दिलचस्प भेद्यता की खोज ( समाचार , अनुसंधान ) की। अधिक सटीक रूप से, नोटों को संग्रहीत करने के लिए आवेदन में नहीं, बल्कि Google Chrome ब्राउज़र के लिए एक्सटेंशन में। एवरनोट वेब क्लिपर आपको पूरे या आंशिक रूप से वेब पेजों को सहेजने की अनुमति देता है, और मूल सामग्री के शीर्ष पर टिप्पणियां भी जोड़ सकता है।


इसके बजाय व्यापक कार्यक्षमता के कारण उपयोगकर्ता द्वारा देखे गए सभी पृष्ठों पर कोड एम्बेड करने की आवश्यकता होती है, अगर उसके पास एवरनोट एक्सटेंशन स्थापित है। प्रारंभ में, एक छोटी स्क्रिप्ट अतिरिक्त कोड लोडिंग प्रदान करती है यदि उपयोगकर्ता पृष्ठ को बचाने का निर्णय लेता है। जैसा कि यह निकला, समान कोड लोडिंग की वास्तव में जाँच नहीं की गई थी, जिसने सैद्धांतिक रूप से हमलावर को अन्य संसाधनों से निजी उपयोगकर्ता डेटा प्राप्त करने की अनुमति दी थी; यह तैयार पृष्ठ को खोलने के लिए पर्याप्त था। सौभाग्य से, खतरा सैद्धांतिक बना रहा: समस्या बंद थी, वास्तविक हमलों के लिए इसके उपयोग के सबूत नहीं मिले।


दृश्यमान सामग्री के अलावा, हमलावर वेब पेज में कई छिपे हुए फ़्रेम शामिल होते हैं जो निजी डेटा के साथ साइटों तक पहुंचते हैं (जैसा कि ऊपर वीडियो में दिखाया गया है, ये फेसबुक और पेपल पेज हैं)। एवरनोट एक्सटेंशन अपनी खुद की स्क्रिप्ट को ऐसे पेज के कोड में जोड़ेगा, जो सभी फ्रेम में कोड को लोड करने के लिए जिम्मेदार है। समस्या यह है कि कोड के स्रोत को ठीक से जांचा नहीं गया है और हमलावर के कोड से बदला जा सकता है।


उपयोगकर्ता हस्तक्षेप (उदाहरण के लिए, किसी भी विस्तार कार्यों की सक्रियता) की आवश्यकता नहीं है। यह संशोधित पृष्ठ खोलने के लिए पर्याप्त है, और छिपे हुए आइफ्रेम-तत्वों से जानकारी हमलावर को प्रेषित की जाएगी। यह कैसे प्रूफ ऑफ कॉन्सेप्ट का एक विशिष्ट संस्करण है, अन्य विकल्प संभव हैं। भेद्यता पिछले साल व्याकरण, एक वर्तनी जाँच सेवा के विस्तार में खोजी गई और बंद हुई समस्या से मिलती जुलती है। उस मामले में, व्याकरणीय प्राधिकरण टोकन किसी अन्य वेबसाइट के लिए सुलभ थे, इसलिए कोई भी सेवा में लॉग इन कर सकता है और उपयोगकर्ता जानकारी तक पहुंच प्राप्त कर सकता है (अधिक जानकारी यहां इस भेद्यता के बारे में)। दोनों सेवाओं को वास्तव में वेब पृष्ठों के स्रोत कोड को संशोधित करने की आवश्यकता है, लेकिन ऐसी कार्यक्षमता को लागू करते समय आपको सावधान रहना चाहिए।

डेढ़ लाख असुरक्षित स्थल, 1700 ऑनलाइन स्टोर हैक

फ़ोरजेनिक्स ने वेबसाइट सुरक्षा ( समाचार , कंपनी ब्लॉग पोस्ट ) के एक अध्ययन के परिणाम प्रकाशित किए। फोरगेनिक्स के अनुसार, लगभग नौ मिलियन साइटों की नियमित रूप से निगरानी की जाती है, लगभग आधे मिलियन में गंभीर कमजोरियां होती हैं। गंभीर समस्याओं को गैर-गंभीर लोगों से अलग करने के विशिष्ट मानदंडों का खुलासा नहीं किया गया है, लेकिन यह संकेत दिया गया है कि केवल 7 अंक से अधिक सीवीएसएस रेटिंग वाले कमजोर लोगों को समस्याग्रस्त साइटों के चयन में पाया जाता है। यह पूरी तरह से स्पष्ट नहीं है कि व्यवहार में भी इस तरह की कमजोरियों का कैसे फायदा उठाया जाता है, लेकिन कभी-कभी इस तरह के "एक अस्पताल में औसत तापमान" का अनुमान लगाना उपयोगी होता है।

ऑनलाइन स्टोरों की अलग-अलग जाँच - पड़ताल की जाती है, जहाँ एक या दूसरे तरीके से उपयोगकर्ताओं से भुगतान के स्वागत को लागू किया जाता है। Magento को ऑनलाइन स्टोर के लिए सबसे कमजोर सीएमएस प्लेटफॉर्म के रूप में मान्यता प्राप्त है: 86.5% साइटों पर काम करने की गंभीर कमजोरियां हैं। 1,700 साइटों में से, जहां स्क्रिप्ट्स को उपयोगकर्ताओं की बिलिंग जानकारी को चुराने के लिए खोजा गया था, लगभग एक हजार मैगेंटो पर काम करते हैं, उनमें से अधिकांश उत्तरी अमेरिका में स्थित हैं। अध्ययन करने वाली कंपनी के अनुसार, हमला करने वाली वेबसाइटों को हैकिंग के बाद औसतन 5.5 महीनों में एक सुरक्षा छेद के बारे में पता चलता है।

सीएमएस मैगनेटो पिछले साल कुख्यात हो गया जब मेजकार्ट समूह के साइबर अपराधियों ने भुगतान करते समय उपयोगकर्ता द्वारा दर्ज किए गए भुगतान डेटा को चोरी करने के लिए उन पर स्क्रिप्ट स्थापित करके संवेदनशील साइटों पर बड़े पैमाने पर हमला करना शुरू कर दिया। ऐसे स्किमर का एक विशिष्ट सिद्धांत क्रेडिट कार्ड नंबर और अन्य जानकारी दर्ज करने के लिए नकली विंडो खोलना था। इस तरह की खिड़की को सूचना दर्ज करने के लिए वैध रूप के शीर्ष पर प्रदर्शित किया गया था।

2018 में बड़े पैमाने पर हमले ने एक भेद्यता का शोषण किया जो 2016 में खोजा और बंद कर दिया गया था। काश, कई साइटों को दो साल में अपडेट नहीं किया गया है, इसलिए फोरगेनिक्स (मैगेंटो का उपयोग करने वाले 200 हजार संक्रमित साइटों में से ~ 1000) का अनुमान भी रूढ़िवादी है। पिछले अक्टूबर में, मेगार्ट की निगरानी करने वाले शोधकर्ता विलेम डी ग्रोट ने एक स्किमर के साथ 7 हजार साइटों की गिनती की।


प्राचीन कमजोरियों की बात हो रही है। Microsoft संक्रमित .RTF फ़ाइलों की ताज़ा स्पैम तरंग की चेतावनी देता है जो Microsoft Office में एक भेद्यता का शोषण करती है जिसे 2017 में खोजा और बंद किया गया था। यह समस्या 2007 से 2016 तक के संस्करणों में मौजूद है, और सभी वेरिएंट के लिए पैच जारी किए गए थे। एक संक्रमित दस्तावेज़ को कार्यालय में असुरक्षित संस्करण में खोलने से पिछले दरवाजे को सिस्टम में डाउनलोड और इंस्टॉल किया जा सकता है। अपग्रेड करना न भूलें।

डिस्क्लेमर: इस डाइजेस्ट में व्यक्त की गई राय हमेशा कास्परस्की लैब की आधिकारिक स्थिति से मेल नहीं खा सकती है। प्रिय संपादकों आमतौर पर स्वस्थ संदेह के साथ किसी भी राय का इलाज करने की सलाह देते हैं।