Western Digital eemaldas koodi, mis oleks takistanud minu raamatute ülemaailmset pühkimist
Western Digital
Ars Technica aruande kohaselt eemaldas Western Digitali arendaja koodi, mis oleks takistanud My Book Live’i salvestusketaste eelmisel nädalal massilist kustutamist. Häkker kasutas seda koodimuutust ära, häirides tõenäoliselt teist häkkerit, kes oli muutnud mõned My Book Live’i seadmed robotvõrguks.
Eelmise nädala ülemaailmse pühkimissündmuse ohvrid kaebasid, et nende My Book Live’i seadmete tehase lähtestamise tööriist peaks olema parooliga kaitstud. Ilmselt oli see kunagi nii. Kuid Western Digitali arendaja muutis PHP-skripti system_factory_restore, et blokeerida kõik autentimiskontrollid. Selguse huvides ei kustutanud see arendaja autentimise kontrolle, vaid lisas lihtsalt koodi ette kaldkriipsud, et takistada selle käivitamist.
function get($urlPath, $queryParams=null, $ouputFormat='xml'){ // if(!authenticateAsOwner($queryParams)) // { // header("HTTP/1.0 401 Unauthorized"); // return; // }
Vestluses Ars Technicaga väitis turvaekspert ja Rumble HD Moore tegevjuht, et "müüja, kes kommenteerib autentimist süsteemi taastamise lõpp-punktis, ei näe tõesti asju nende jaoks hea välja … Tundub, et nad lubasid tahtlikult ümbersõidu." Veel hullemaks on asjaolu, et see häkker käivitas XML-päringuga tehaseseadete lähtestamise, mis eeldaks My Book Live’i süsteemi eelteadmisi või silmapaistvalt head oletust.
Kuid see pole veel kõik. Enamik seadmeid, mis said tehaseseadetele lähtestamise, olid juba häkkimiskatse ohvriks langenud. Hiljutises Western Digitali ajaveebi postituses öeldakse, et häkkerid kasutasid My Book Live’i draivide kaudu täieliku administraatorijuurdepääsu saamiseks CVE-2018-18472, kolm aastat vana ärakasutamist. See ärakasutamine võimaldab häkkeritel käivitada draividel kõrgetasemelisi käske ning vaadata või muuta faile.
Huvitaval kombel kaitses häkker CVE-2018-18472 ärakasutamist parooliga. Western Digital ütleb, et seda kasutati levitamiseks. nttpd,1-ppc-be-t1-z, PowerPC pahavara, mis muudab seadmed Linux.Ngioweb botnetiks – põhiliselt pöörlevaks puhverserveriks, mis võib varjata küberkurjategijate identiteeti või võimendada DDoS-i rünnakuid.
Western Digital väidab, et ta ei tea, miks häkkerid kasutavad ära CVE-2018-18472 ja lähtestavad turvaauke tehases. See tundub kindlasti vastuoluline; miks peaksite vaikselt botneti ehitama, et tekitada tohutu skandaal ja sundida My Book Live’i kasutajaid uut NAS-seadet ostma?
Censyse ja Ars Technica tehtud järeldus tundub kõige usutavam – häkker käivitas tehase lähtestamise, et saboteerida kasvavat robotvõrku. Võib-olla on häkkerid rivaalid, kuigi kogu see asi võis olla juhus. Kes teab, võib-olla teatas keegi Discordi vestluses või foorumis, et My Book Live’i seadmeid pole alates 2015. aastast värskendatud, mistõttu kaks häkkerit korraldavad sama aja jooksul sõltumatuid rünnakuid.
Kui olete My Book Live’i kasutaja, katkestage draivi ühendus Internetiga ja ärge kunagi kasutage seda enam kunagi kaugsalvestusseadmena. Uuematel NAS-seadmetel, sealhulgas Western Digitali omadel, on turvafunktsioonid, mis on tegelikult ajakohased.
Allikas: Ars Technica