सुरक्षा सप्ताह 48: विशाल डेटा लीक और व्हाट्सएप कमजोरता

22 नवंबर को, डेटाविपर के विशेषज्ञों विन्नी ट्रॉय और बॉब डायचेन्को ने एक अरब से अधिक लोगों ( समाचार , मूल रिपोर्ट ) पर व्यक्तिगत डेटा वाले एक बड़े (इसे हल्के ढंग से डालने के लिए) डेटाबेस की खोज की घोषणा की। एलिटिक्स खोज सर्वर प्राधिकरण के बिना उपलब्ध था, कुल मिलाकर, 4 से अधिक टेराबाइट्स डेटा वहां संग्रहीत किए गए थे। अभिलेखों में अंकों को देखते हुए, सूचना का स्रोत पेशेवर रूप से व्यक्तिगत डेटा के संग्रह और संचय में लगी दो कंपनियां थीं। सबसे बड़ा डेटाबेस कथित रूप से पीपुल डेटा लैब्स द्वारा एकत्र किया गया था: एक खुले सर्वर में 650 मिलियन से अधिक ईमेल पतों सहित अपने रिकॉर्ड (डुप्लिकेट के साथ) के 3 बिलियन शामिल थे।



लेकिन मेल यहीं तक सीमित नहीं है। शोधकर्ताओं ने पीपल डेटा लैब्स डेटाबेस के डेटा की तुलना एक असुरक्षित सर्वर की जानकारी के साथ की, जो अपने बारे में रिकॉर्ड की तलाश में है। हमें लगभग पूर्ण संयोग मिला: सोशल नेटवर्क पर डेटा, जाने-माने डाक पते, फोन नंबर (एक नंबर जिसमें कहीं भी इस्तेमाल नहीं किया गया था, और केवल एक टेलीकॉम ऑपरेटर ही किसी विशिष्ट व्यक्ति से संबंधित हो सकता है) के बारे में जान सकता है। साथ ही शहर और निर्देशांक के लिए सही निवास का पता। खुले सर्वर के मालिक कौन स्पष्ट नहीं है, यह Google क्लाउड प्लेटफ़ॉर्म पर होस्ट किया गया था, जो ग्राहक की जानकारी का खुलासा नहीं करता है। यह संभव है कि सर्वर का मालिक आम तौर पर कुछ तीसरा पक्ष होता है, जिनके पास वैध रूप से जानकारी होती है या नहीं होती है।

यह स्पष्ट है कि व्यक्तिगत डेटा के एग्रीगेटर इस तरह के रिसाव में रुचि नहीं रखते हैं - वे जानकारी की बिक्री पर कमाते हैं। ऐसी कंपनी के पक्ष में एक आकस्मिक रिसाव भी संभावना नहीं है, क्योंकि प्रतिस्पर्धी कंपनियों के डेटाबेस एक सर्वर पर संग्रहीत किए गए थे। बेशक, ये पासवर्ड डेटाबेस नहीं हैं (जो अतीत में लाखों रिकॉर्ड द्वारा लीक किए गए हैं), वे सीधे नुकसान का कारण नहीं बनते हैं। लेकिन वे सोशल इंजीनियरिंग में शामिल साइबर अपराधियों के काम को सुविधाजनक बना सकते हैं। हमें यह नहीं भूलना चाहिए कि इस जानकारी का अधिकांश हिस्सा स्वेच्छा से - लिंक्डइन प्रोफाइल, फेसबुक पोस्ट आदि में प्रसारित होता है। लगभग हर सक्रिय नेटवर्क उपयोगकर्ता पर, एक बहुत विस्तृत व्यक्तिगत फ़ाइल संग्रहीत की जाती है, नए डेटा के साथ लगातार अपडेट की जाती है। रिसाव हमें पैमाने का अनुमान लगाने की अनुमति देता है: केवल दो निजी कंपनियां, सबसे अधिक संभावना है कि वे राज्य से संबंधित नहीं हैं, खुले स्रोतों से जानकारी एकत्र करते हैं, दुनिया की आबादी का लगभग 15% पर अपना डेटा।


फेसबुक ने व्हाट्सएप मैसेंजर ( समाचार , आधिकारिक बुलेटिन ) में एक गंभीर भेद्यता को बंद करने की घोषणा की। MP4 प्रारूप में एक वीडियो फ़ाइल के मेटाडेटा को संसाधित करते समय, एक बफर ओवरफ्लो हो सकता है, जो एप्लिकेशन क्रैश या मनमाने कोड निष्पादन की ओर जाता है। भेद्यता का फायदा उठाना आसान है: पीड़ित व्यक्ति की संख्या जानना और उसे तैयार वीडियो फ़ाइल भेजना काफी है। यदि एप्लिकेशन में सामग्री का स्वचालित डाउनलोडिंग सक्षम है, तो उपयोगकर्ता से कोई अतिरिक्त कार्रवाई की आवश्यकता नहीं होगी (निष्कर्ष: स्वचालित डाउनलोडिंग को अक्षम करना बेहतर है)।

भेद्यता इस साल मई में खोजे और बंद किए गए एक अन्य व्हाट्सएप मुद्दे के समान है। उस मामले में, वीओआइपी संचार के लिए मॉड्यूल में एक बफर ओवरफ्लो कहा जाता था, और ऑपरेशन सरल था - आपको कुछ भी भेजने की आवश्यकता नहीं है, यह "गलत" कॉल शुरू करने के लिए पर्याप्त है। मई की भेद्यता के परिणाम अधिक गंभीर थे, यह वास्तविक हमलों में मज़बूती से इस्तेमाल किया गया था और विशेष सेवाओं के लिए कार बेचने वाली कंपनियों द्वारा फैलाया गया था। दोनों मई भेद्यता और ताजा एक प्रतिस्पर्धा वाले टेलीग्राम संदेशवाहक पावेल ड्यूरोव के निर्माता द्वारा टिप्पणी की गई थी। उनका तर्क, संक्षेप में: टेलीग्राम में इतने बड़े पैमाने पर कमजोरियां नहीं थीं, लेकिन व्हाट्सएप में, इसलिए यह असुरक्षित है। ड्यूरोव को समझा जा सकता है, लेकिन इस तथ्य को नहीं कि यह बंद कमजोरियों के लिए कोड की सुरक्षा के बारे में दूरगामी निष्कर्ष बनाने के लायक है। आप वास्तविक हमलों पर निष्कर्ष निकाल सकते हैं, लेकिन यहां बहुत कुछ सॉफ्टवेयर या सेवा की लोकप्रियता के आधार पर निर्भर करता है।

और क्या हुआ?

कास्परस्की लैब के विशेषज्ञ 2020 के लिए परिष्कृत साइबर हमलों के विकास के लिए भविष्यवाणियों को साझा करते हैं। तेजी से, बड़े पैमाने पर साइबर ऑपरेशन "झूठे झंडे" के तहत किए जाते हैं: "सबूत" कोड और सर्वर साइड में जोड़ा जाता है, जिससे अभियान का गलत श्रेय जाता है। रैंसमवेयर ट्रोजन की मदद से हमले लक्षित हो जाते हैं, और "कालीन बमबारी" की मात्रा गिर रही है। वे पीड़ितों की पहचान करते हैं जो भुगतान करने में सक्षम हैं, और उन्हें विशेष रूप से लक्षित किया जाता है। IoT उपकरणों का उपयोग करके हमलों की वृद्धि की भविष्यवाणी की जाती है - दोनों स्थापित उपकरणों को हैक करके और पीड़ित के नेटवर्क में ट्रोजन IoT घोड़ों को पेश करके।

Google सुरक्षा चिप टाइटन एम में कमजोरियों का पता लगाने के लिए इनाम को डेढ़ मिलियन डॉलर तक बढ़ाता है । टाइटन एम का उपयोग नवीनतम पिक्सेल स्मार्टफ़ोन (पिक्सेल 3 के साथ शुरू) में किया जाता है और भुगतान करते समय सबसे मूल्यवान डेटा तक सुरक्षित पहुँच प्रदान करता है। अधिकतम भुगतान एक भेद्यता खोजने के लिए है जो आपको दूरस्थ रूप से सुरक्षा प्रणालियों को बायपास करने की अनुमति देता है।


उपर्युक्त वीडियो उपयोगकर्ता खाता नियंत्रण तंत्र में एक दोष के माध्यम से विशेषाधिकार बढ़ाने का एक उत्सुक उदाहरण है । Microsoft-हस्ताक्षरित बाइनरी डाउनलोड करें, व्यवस्थापक अधिकारों के साथ शुरू करने का प्रयास करें, पासवर्ड प्रविष्टि विंडो प्राप्त करें, प्रमाणपत्र गुणों में लिंक पर क्लिक करें, सिस्टम विशेषाधिकारों के साथ ब्राउज़र खोलें। विंडोज 7, 8 और 10 में भेद्यता 12 नवंबर को बंद है।

चेक प्वाइंट व्यापक खुले स्रोत सॉफ़्टवेयर में कमजोरियों को देखा जो कि लोकप्रिय एंड्रॉइड अनुप्रयोगों में एम्बेडेड है। हमें फेसबुक, वीचैट और अलीएक्सप्रेस ऐप के हिस्से के रूप में अप्रकाशित पुस्तकालय मिले। फेसबुक ने टिप्पणी की कि कोड में भेद्यता की उपस्थिति इसके संचालन की गारंटी नहीं देती है: समस्या कोड बस शामिल नहीं हो सकता है।

मोनोरो क्रिप्टोक्यूरेंसी साइट को हैक कर लिया गया था और 18 नवंबर को दोपहर को उपयोगकर्ताओं के पर्स से पैसे चुराने के कार्य के साथ संशोधित वितरण सौंपे गए थे।