نوشته‌شده در

سرور نا امن داده های برنامه تلفن همراه Bing در معرض


WizCase از طریق یک سرور الاستیک بدون امنیت ، نشت گسترده داده را در برنامه تلفن همراه Microsoft Bing کشف کرد. فقط در Google Play بیش از 10.000.000 بارگیری انجام شده است و روزانه میلیون ها جستجو از طریق برنامه تلفن همراه انجام شده است.

چه اتفاقی می افتد؟

تیم امنیتی آنلاین WizCase ، به سرپرستی هکر کلاه سفید ، آتا هاکسیل ، ] یک نشت گسترده داده در یک سرور متعلق به مایکروسافت که اطلاعات مربوط به برنامه تلفن همراه Bing خود را در آن ثبت می کند ، هم در Google Play و هم در App Store موجود است.

بعد از تحقیقات به برنامه Microsoft Bing ، Hakcil یافته های خود را با بارگیری برنامه تأیید کرد و جستجوی "Wizcase" را اجرا کنید. هنگام جستجوی سرور ، وی اطلاعات خود ، از جمله پرس و جوهای جستجو ، جزئیات دستگاه و مختصات GPS را پیدا کرد ، و ثابت می کند داده های در معرض مستقیم از برنامه تلفن همراه Bing می آید.

گزارشهای جستجوی ما شامل کلیه جزئیات مربوط به دستگاه

داده های در معرض شامل:

  • شرایط جستجو در متن روشن ، به استثنای موارد وارد شده در حالت خصوصی
  • مختصات موقعیت مکانی: اگر اجازه مکان در برنامه فعال باشد ، یک مکان دقیق ، در فاصله 500 متری ، در مجموعه داده ها گنجانده شده است.
    در حالی که مختصات در معرض دقیق نیستند ، آنها هنوز یک محیط نسبتاً کوچک از مکان قرارگیری کاربر ارائه دهید. به سادگی با کپی کردن آنها در Google Maps ، می توان از آنها برای یافتن مالک تلفن استفاده کرد.
  • زمان اجرای دقیق .
  • Firebase Notification Tokens
  • داده های کوپن مانند مهر زمان اینکه کد کوپن توسط برنامه کپی یا به صورت خودکار اعمال می شود و روی آن URL است
  • لیست جزئی از URL هایی که کاربران از جستجو بازدید کرده اند نتایج
  • مدل دستگاه (تلفن یا تبلت)
  • سیستم عامل
  • 3 شماره شناسه منحصر به فرد اختصاص داده شده به هر کاربر یافت شده در داده ها
    • ADID: ظاهر می شود به عنوان یک شناسه منحصر به فرد برای یک حساب مایکروسافت باشد
    • deviceID
    • devicehash
سیاهههای مربوط به برخی اطلاعات کاربر

سیاهههای مربوط به برخی از اطلاعات کاربر

نمونه ای از داده های کوپن در مورد سابق posed server

نمونه ای از یک گزارش مربوط به کوپن ها در سرور در معرض دید

داده های چه کسی در معرض نمایش قرار گرفت و چه عواقبی دارد

Hakcil و تیمش یک سرور 6.5 ترابایتی کشف کردند و مشاهده کردند که توسط هر روز 200 گیگابایت با توجه به حجم زیاد داده ها ، می توان حدس زد که هرکسی که در حالی که سرور در معرض سرور قرار گرفته است ، با Bing با برنامه تلفن همراه جستجو کرده است ، در معرض خطر است. ما سوابق مربوط به جستجو از بیش از 70 کشور را مشاهده کردیم.

طبق اسکنر ما ، سرور تا هفته اول سپتامبر با رمز عبور محافظت شده بود. تیم ما این نشت را در 12 سپتامبر ، تقریباً دو روز پس از حذف احراز هویت کشف کرد.

پس از اینکه Hakcil پایگاه داده را به برنامه Bing تعلق داد ، تیم در 13 سپتامبر به مایکروسافت هشدار داد. آنها به سرعت به پیام ما پاسخ دادند. سپس ما اطلاعات نشتی را به MSRC - مرکز پاسخ امنیتی مایکروسافت گزارش دادیم و آنها چند روز بعد ، در 16 سپتامبر امنیت آن را تأمین کردند.

طبق آنچه ما دیدیم ، بین 10 تا 12 سپتامبر ، سرور مورد حمله Meow قرار گرفت که تقریباً کل پایگاه داده را حذف کرد. وقتی سرور را در تاریخ 12th کشف کردیم ، 100 میلیون رکورد از زمان حمله جمع آوری شده است. در 14 سپتامبر حمله دوم Meow به سرور انجام شد.

علاوه بر هکرهای Meow ، این داده ها در معرض انواع هکرها و کلاهبرداران قرار گرفت. این می تواند به حملات مختلفی علیه کاربران برنامه تلفن همراه بینگ منجر شود.

برخی از تهدیدات احتمالی شامل موارد زیر هستند: محدود به این موارد نیستند:

باج خواهی: این که آیا به دنبال محتوای بزرگسالان است ، تقلب می کند دیدگاه های سیاسی ، افراطی مهم دیگر ، یا صدها چیز شرم آور که مردم در Bing جستجو می کنند. هنگامی که هکر درخواست جستجو را پیدا کرد ، می توان به لطف تمام جزئیات موجود در سرور ، هویت شخص را کشف کرد و آنها را به عنوان هدف باج خواهی آسان تبدیل کرد.

کلاهبرداری فیشینگ: اگر یک هکر باشد می داند که کسی در حال جستجوی چیز خاصی است ، مانند مقصد تعطیلات ، قیمت گذاری بر روی جواهرات یا دیدن مکانهای املاک و مستغلات ، می تواند از این داده ها برای اجرای کلاهبرداری فیشینگ که به طور صریح حول تاریخچه جستجوی خود ساخته شده است استفاده کند.

به عنوان مثال کوپن داده هایی که در گزارش ها بود می تواند به بازیگران بد اجازه ردیابی وب سایت های خرید مورد استفاده کاربران Bing App را بدهد ، و اگر تولیدکنندگان موفق شوند نام کاربر را از درخواستهای جستجوی قبلی و غیره بی هویت کنند ، می توانند کاربر را با کلاهبرداری های فیشینگ خاص برای آن هدف قرار دهند کاربر.

حملات فیزیکی و سرقت: یکی از نقاط داده ای که در این نشت فاش شده است ، مکان پینگ برای تلفن یا رایانه لوحی شما است. لازم نیست یک مغز متفکر جنایی بتواند از آن پینگ برای ردیابی موقعیت مکانی شما استفاده کند. مجرم سایبری نه تنها از برنامه روزانه کاربران آگاهی دارد ، بلکه همچنین می تواند براساس س asالات جستجو اطلاعاتی در مورد داشتن پول نقد یا کالاهای گران قیمت با آنها داشته باشد. به عنوان مثال ، اگر کسی بخواهد مکانی را برای خرید کالای گران قیمت یا دستورالعمل های ذخیره آن جستجو کند ، مهاجم می تواند آماده سرقت آن باشد.

هنگام تحقیق در مورد سرور ، تیم تحقیقاتی ما توانست انواع جستجوهای مختلف را پیدا کند از بازیگران بد.

این تیم می توانست جستجوهای جستجو شده توسط شکارچیان را که به دنبال پورنو کودکان و وب سایت هایی هستند که پس از جستجو از آنها بازدید کرده است.

جستجوی جستجو از یک شکارچی از جمله URL "کلیک شده"

جستجوی جستجوی شکارچی شامل URL "کلیک شده"

غیرقانونی نیست اما هنوز هم نگران کننده است ، ما همچنین با سeriesالات جستجو مربوط به اسلحه و علاقه به تیراندازی ، با سابقه جستجو شامل خرید برای اسلحه ، و عبارات جستجو مانند "کشتن کمونیستها".

نتایج جستجو برای "اسلحه" و "کشتن کمونیس"

نتایج جستجو برای "اسلحه" و "کمیسرها را بکش" [19659030]

ضبط شده ای که سیاهههای مربوط به کاربران را نشان می دهد ، مدل دستگاه آنها ، سیستم عامل ، سوالات جستجو و اندازه پایگاه داده را نشان می دهد.

ما به عنوان هکرهای اخلاقی منابعی برای شناسایی این افراد و تحویل آنها به مقامات نداریم. با این حال ، این کشف نشان داد که چند شکارچی و خطرناک از موتورهای جستجو برای یافتن قربانیان بعدی خود و وب سایت هایی که از آنها بازدید می کنند استفاده می کنند.

علاوه بر این ، ما می خواهیم از این فرصت استفاده کرده و به همه والدین یادآوری کنیم هنگام مراقبت از تصاویر ، مراقب باشند بچه های آنها در شبکه های اجتماعی. بسیاری از افراد با نیت بد وجود دارند که به دنبال تصاویر کودکان در این سایت ها گشت می زنند.

برای محافظت از داده های خود چه کاری می توانم انجام دهم؟

اگر از برنامه تلفن همراه Bing استفاده می کنید ، باید هنگام باز کردن ایمیل های ناشناخته بسیار احتیاط کنید. فرستنده ها حتی اگر آدرس ایمیل کاربر در داده های در معرض قرار نگرفته باشد ، داده های کاربری کافی برای هکر برای یافتن هویت شخص وجود دارد. به محض داشتن نام ، آدرس و محل کار ، دریافت آدرس ایمیل کار چندان دشواری نیست. به عنوان یک قاعده کلی ، هرگز روی پیوندی که از منبع معتبری نمی آید کلیک نکنید.

اگرچه به طور کلی پذیرفته شده است که موتورهای جستجو مانند Bing و Google به کوههای داده دسترسی دارند ، اما انتظار معقولی وجود دارد که از این طریق استفاده کنند. این داده ها را ایمن کنید.

یکی از راه های محافظت از داده های شما استفاده از موتور جستجوی خصوصی مانند DuckDuckGo است که هیچ داده کاربر یا جستجو را ذخیره نمی کند.

داده های مکان از 3 منبع:

  1. GPS تلفن - مگر اینکه مجوز GPS را خاموش کنید
  2. محلی سازی سیستم عامل تلفن و زبان
  3. حساب Microsoft متصل ، با فرض ورود به سیستم.

برای محافظت از هویت خود در برابر هر سه مورد این موارد ، شما باید مجوز GPS را در برنامه تلفن همراه Bing خاموش کنید و همیشه هنگام اتصال به اینترنت VPN را حفظ کنید.

VPN نرم افزاری است که اتصال اینترنت شما را به یک سرور از راه دور تغییر مسیر می دهد و به شما امکان می دهد یک آدرس IP است که به واقعی شما متصل نیست محل. در حالی که داده های مکان مستقیماً از آدرس IP نمی آیند ، مایکروسافت تا شش ماه آدرس IP کاربران را ثبت می کند و در صورت به خطر افتادن ذخیره سازی داده ، VPN شما را ناشناس نگه می دارد.

مشکل فقط با روشن نگه داشتن VPN برای برخی از مرورها این است که به بازیگران بد این امکان را می دهد تا به لطف شناسه های منحصر به فرد مرتبط با اتصال شما ، تاریخچه اتصال را مشاهده کنند. وقتی ببینند شما در حال اتصال از یک کشور در صبح و از کشور دیگری در شب هستید ، تعیین اینکه کدام یک VPN است و کدام یک آدرس IP واقعی شما نیست ، بنابراین کار با VPN بی معنی می شود اگر شما باشید به طور مداوم از آن استفاده نکنید.

با این حال ، به دلیل محلی سازی تلفن ، مکانهای جغرافیایی عمومی مانند "en-US" یا "fr-FR" وجود خواهد داشت.

ما همچنین توصیه می کنیم که بارگیری قابل اعتماد کنید نرم افزار آنتی ویروسی که دارای محافظت ضد فیشینگ است.

Wizcase کیست؟

WizCase یکی از بزرگترین وب سایتهای امنیتی آنلاین بین المللی است که دارای محتوایی به 30 زبان مختلف ترجمه شده است. ما ابزارها ، ترفندها و بهترین روش ها را برای ایمنی و امنیت آنلاین ارائه می دهیم.

تیم امنیت وب آنلاین ما از هکرهای White Hack برخی از بزرگترین موارد نقض داده ها ، از جمله وب کم ناامن و رسوایی سایت های دوست یابی را کشف کرده اند.

ما نه تنها گزارش های خود را برای عموم منتشر می کنیم. ، اما ما این موضوع را برای شرکت نیز فاش می کنیم ، به آنها اجازه می دهیم خدمات خود را ایمن کنند و یک محیط امن تر برای همه ایجاد می کنند.