সিসিটিভি সফটওয়্যারের ফার্মওয়্যার বাগকে পিওএস হ্যাকারকে একটি পাদদেশ প্রদান করতে পারে

আরএসএসের একজন গবেষক বলেছেন যে কমপক্ষে 70 টি বিক্রেতার দ্বারা বিক্রি করা নিরাপত্তার ক্যামেরায় পাওয়া ত্রুটিযুক্ত ফার্মওয়্যারটি অনেকগুলি অবদানকারী হতে পারে ক্রেডিট কার্ডের ভঙ্গ যে খুচরো বিক্রেতার কাছে প্রমাণিত হয়েছে।

রোটেম কার্নার ডিসেম্বর ২014 সালে প্রকাশিত একটি কাগজ RSA এর উপর ভিত্তি করে তার ম্যালওয়ার নামে বেলফ নামে ডাকেন, যা পয়েন্ট অফ সেল সিস্টেম দ্বারা প্রক্রিয়াভুক্ত পেমেন্ট কার্ড বিশ্লেষণ করে চুরি করে।

মার্কিন গোপন পরিষেবা এবং হোমল্যান্ড সিকিউরিটি বিভাগের আগস্ট ২014 এ সতর্ক করা হয়েছে যে 1,000 মার্কিন ব্যবসাগুলির উপরে ব্যাকফের সাথে সংক্রামিত হতে পারে।

[আরও পাঠ্য: আপনার উইন্ডোজ পিসি থেকে ম্যালওয়্যার সরাতে কিভাবে]

অ্যাডভাইজরিটি হার্ড পরে এসেছিল তোমরা লক্ষ্যস্থল, নিরীণ মার্কাস, মাইকেল এবং ইউ.পি.এস. স্টোর সহ বেশ কয়েকটি প্রধান খুচরা বিক্রেতা বড় পেমেন্ট কার্ড ভাঙার শিকার হয়েছিলেন।

কার্নের প্রযুক্তিগত তথ্য দেখেছিলেন আরএসএ কম্পিউটার থেকে সংগ্রহ করেছিলেন যা ব্যাকফের সাথে সংক্রমিত হয়েছিল। অদ্ভুতভাবে, অনেকগুলি 81, 82 এবং 8000 এ খোলা পোর্টগুলির সাথে ছোট ওয়েব সার্ভার চালাচ্ছিল।

"ক্রস ওয়েব সার্ভার" নামক সফ্টওয়্যার সিটিভি DVR (ডিজিটাল ভিডিও রেকর্ডার) সরঞ্জামের জন্য প্রমাণিত হয়, যা খুচরা বিক্রেতা দ্বারা ব্যাপকভাবে ব্যবহৃত হয় শারীরিক পর্যবেক্ষণ জন্য কিন্তু সার্ভার সফটওয়্যারটি চলতে থাকে এবং ইন্টারনেটে খোলা থাকে, যা একটি সম্ভাব্য নিরাপত্তার ঝুঁকি।

শোধন, ইন্টারনেটে খোলা নেটওয়ার্ক ডিভাইস খোঁজার জন্য একটি সার্চ ইঞ্জিন, একই সফটওয়্যার চালানোর 30,000 টি মেশিন চালু করেছে, কার্নেরের লেখা ।

কার্নেরটি টিআইবিটি নামে একটি চীনা কোম্পানী দ্বারা তৈরি ওয়েব সার্ভার সফটওয়্যারটি আবিষ্কার করেছে। তিনি কোম্পানির ওয়েবসাইট থেকে সিসিটিভি DVR ডিভাইসের জন্য ফার্মওয়্যারের একটি সংস্করণ ডাউনলোড করেছেন।

ফার্মওয়্যার অনুসন্ধান করা হলে, তিনি একটি দুর্বলতা পেয়েছিলেন যা কোডটিকে দূষিত ইউআরআই মাধ্যমে দূরবর্তী অ্যাক্সেস পেতে দেয়।

বড় নিরাপত্তা সমস্যা হলো এই ধরণের সফটওয়্যারটি পাবলিক ইন্টারনেট থেকে অ্যাক্সেসযোগ্য নয়। ইন্টারনেটে খোলা ক্যামেরা সফটওয়্যারের উপস্থিতিতে আক্রমণকারীরা একটি বিশেষ নেটওয়ার্কের সনাক্ত করতে পারে এবং কেউ যদি খুচরা বিক্রেতা থেকে থাকে তবে বুঝতে পারে।

ডিভাইসটি অ্যাক্সেস করতেও বিস্তৃত নেটওয়ার্ক এন্ট্রি পেতে সাহায্য করতে পারে, যা শেষ পর্যন্ত হতে পারে পেমেন্ট প্রসেসিং সিস্টেমের জন্য।

"যখন পুরাতন ফ্যাশন চোর দোকানগুলিতে শারীরিকভাবে ভাঙা হতো, তখন তাদের ক্যাশিয়ারের পথে তাদের কোনও নজরদারি সরঞ্জামগুলি পরীক্ষা করা এবং এড়িয়ে যাওয়া হত না"। "ডিজিটাল চোর দোকানের মাধ্যমে তাদের প্রবেশ করিয়েছে। সত্যিই হলিউড উপাদান।"

তাঁর তদন্ত কমপক্ষে 70 নির্মাতারা যে একই ফার্মওয়্যার ব্যবহার করে, যা তিনি একটি লিপিবদ্ধ তালিকাভুক্ত করেছেন। কার্নের চেষ্টা করেন কিন্তু টিভিটিতে কর্মকর্তাদের কাছে দুর্বলতার সতর্কতা অবলম্বন করতে ব্যর্থ হন, তাই তিনি প্রকাশ্যে সমস্যা প্রকাশ করার সিদ্ধান্ত নেন।

বৃহস্পতিবার টেলিভিশনের কর্মকর্তাদের অবিলম্বে ইমেলের মাধ্যমে যোগাযোগ করা যায়নি।

এটি ফার্মওয়্যারের জন্য অসাধারণ নয় - যা নিম্ন-স্তরের কোড- লাইসেন্স এবং রাউটার, আইপি ক্যামেরা এবং কিছু কনজিউমার ইলেক্ট্রনিক্সের মতো পণ্যগুলির জন্য অনেক বিক্রেতাদের দ্বারা ব্যবহৃত হয়।

তবে এটা সুস্পষ্টভাবে জানা যায় যে বিক্রেতারা প্যাচ তৈরির ব্যাপারে নীরবভাবে নমনীয়। হিসাবে ওয়েনার এটি করা: এটি একটি বিক্রেতার প্যাচ উপর নির্ভর করা কঠিন "আপনার দোরগোড়ায় পৌঁছাতে।" জটিলতাটি যোগ করা প্রতিটি ভেন্ডর বিভিন্ন মডেলের মধ্যে ফার্মওয়্যার ব্যবহার করতে পারে।

এই ধরনের ক্যামেরা চালানোর জন্য ওয়ারেনের প্রস্তাবিত প্রতিরক্ষা "ডিভিআর পরিষেবাগুলিতে কোন অজানা আইপি ঠিকানা থেকে কোনও সংযোগ অস্বীকার করে"।