IoT उपकरणों पर हैकर के हमलों के खतरे: वास्तविक कहानियाँ

एक आधुनिक महानगर का बुनियादी ढांचा इंटरनेट ऑफ थिंग्स उपकरणों पर बनाया गया है: सड़कों पर वीडियो कैमरों से लेकर बड़े पनबिजली स्टेशनों और अस्पतालों तक। हैकर्स किसी भी कनेक्टेड डिवाइस को बॉट में बदलने में सक्षम होते हैं और फिर इसका उपयोग DDoS हमलों को अंजाम देने के लिए करते हैं।

उद्देश्य बहुत भिन्न हो सकते हैं: उदाहरण के लिए, हैकर्स को सरकार या निगम द्वारा भुगतान किया जा सकता है, और कभी-कभी वे सिर्फ अपराधी होते हैं जो मौज-मस्ती करना और पैसा कमाना चाहते हैं।

रूस में, सेना हमें "महत्वपूर्ण बुनियादी सुविधाओं" पर संभावित साइबर हमलों से डरा रही है (इससे बचाने के लिए, कम से कम औपचारिक रूप से, संप्रभु इंटरनेट पर कानून अपनाया गया था)।

हालाँकि, यह केवल एक डरावनी कहानी नहीं है। कैस्परस्की के अनुसार, 2019 की पहली छमाही में, हैकर्स ने इंटरनेट ऑफ थिंग्स उपकरणों पर 100 मिलियन से अधिक बार हमला किया, सबसे अधिक बार मिराई और न्याड्रॉप बॉटनेट का उपयोग किया। वैसे, ऐसे हमलों की संख्या के मामले में रूस केवल चौथे स्थान पर है (पश्चिमी प्रेस द्वारा बनाई गई "रूसी हैकर्स" की अशुभ छवि के बावजूद); शीर्ष तीन में चीन, ब्राजील और यहां तक ​​कि मिस्र भी हैं। संयुक्त राज्य अमेरिका केवल पांचवें स्थान पर है।

तो क्या ऐसे हमलों का सफलतापूर्वक प्रतिकार करना संभव है? आइए पहले इस तरह के हमलों के कुछ प्रसिद्ध मामलों पर नजर डालें ताकि इस सवाल का जवाब मिल सके कि कम से कम बुनियादी स्तर पर अपने उपकरणों को कैसे सुरक्षित किया जाए।

बोमन एवेन्यू बांध

बोमन एवेन्यू बांध 10 हजार से कम लोगों की आबादी वाले राई ब्रुक (न्यूयॉर्क) शहर में स्थित है - इसकी ऊंचाई केवल छह मीटर है, और इसकी चौड़ाई पांच से अधिक नहीं है। 2013 में अमेरिकी खुफिया एजेंसियों ने बांध की सूचना प्रणाली में दुर्भावनापूर्ण सॉफ़्टवेयर का पता लगाया था। तब हैकरों ने सुविधा के संचालन को बाधित करने के लिए चुराए गए डेटा का उपयोग नहीं किया था (संभवतः इसलिए क्योंकि मरम्मत कार्य के दौरान बांध को इंटरनेट से काट दिया गया था)।

बाढ़ के दौरान खाड़ी के पास के क्षेत्रों में बाढ़ को रोकने के लिए बोमन एवेन्यू की आवश्यकता होती है। और बांध की विफलता से कोई विनाशकारी परिणाम नहीं हो सकता है - सबसे खराब स्थिति में, धारा के किनारे कई इमारतों के बेसमेंट में पानी भर गया होगा, लेकिन इसे बाढ़ भी नहीं कहा जा सकता है।

मेयर पॉल रोसेनबर्ग ने तब सुझाव दिया कि हैकर्स ने ओरेगॉन में इसी नाम के एक अन्य बड़े बांध के साथ संरचना को भ्रमित किया हो सकता है। इसका उपयोग कई खेतों की सिंचाई के लिए किया जाता है, जहां विफलता से स्थानीय निवासियों को गंभीर नुकसान होगा।

यह संभव है कि हैकर्स बस एक छोटे बांध पर प्रशिक्षण ले रहे थे ताकि बाद में एक बड़े पनबिजली स्टेशन या अमेरिकी पावर ग्रिड के किसी अन्य तत्व पर गंभीर घुसपैठ कर सकें।

बोमन एवेन्यू बांध पर हमले को बैंकिंग प्रणालियों की हैकिंग की एक श्रृंखला के हिस्से के रूप में पहचाना गया था जिसे सात ईरानी हैकरों ने एक वर्ष के दौरान सफलतापूर्वक अंजाम दिया था (डीडीओएस हमले)। इस दौरान देश के 46 सबसे बड़े वित्तीय संस्थानों का काम बाधित हो गया और सैकड़ों हजारों ग्राहकों के बैंक खाते ब्लॉक कर दिये गये।

बाद में ईरानी हामिद फ़िरोज़ी पर बैंकों और बोमन एवेन्यू बांध पर हैकर हमलों की एक श्रृंखला का आरोप लगाया गया। यह पता चला कि उन्होंने बांध में "छेद" खोजने के लिए Google डॉर्किंग पद्धति का उपयोग किया था (बाद में स्थानीय प्रेस ने Google निगम के खिलाफ आरोपों की झड़ी लगा दी)। हामिद फ़िज़ुरी संयुक्त राज्य अमेरिका में नहीं थे। चूंकि ईरान से राज्यों को प्रत्यर्पण मौजूद नहीं है, इसलिए हैकरों को कोई वास्तविक सजा नहीं मिली।

2.सैन फ्रांसिस्को में निःशुल्क सबवे

25 नवंबर 2016 को, सैन फ्रांसिस्को में सार्वजनिक परिवहन पास बेचने वाले सभी इलेक्ट्रॉनिक टर्मिनलों पर एक संदेश दिखाई दिया: "आपको हैक कर लिया गया है, सारा डेटा एन्क्रिप्टेड है।" शहरी परिवहन एजेंसी से संबंधित सभी विंडोज़ कंप्यूटरों पर भी हमला किया गया। दुर्भावनापूर्ण सॉफ़्टवेयर HDDCryptor (एन्क्रिप्टर जो विंडोज़ कंप्यूटर के मास्टर बूट रिकॉर्ड पर हमला करता है) संगठन के डोमेन नियंत्रक तक पहुँच गया।

HDDCryptor बेतरतीब ढंग से उत्पन्न कुंजियों का उपयोग करके स्थानीय हार्ड ड्राइव और नेटवर्क फ़ाइलों को एन्क्रिप्ट करता है, फिर सिस्टम को सही ढंग से बूट होने से रोकने के लिए हार्ड ड्राइव के MBR को फिर से लिखता है। उपकरण, एक नियम के रूप में, उन कर्मचारियों के कार्यों के कारण संक्रमित हो जाता है जो गलती से ईमेल में एक डिकॉय फ़ाइल खोलते हैं, और फिर वायरस पूरे नेटवर्क में फैल जाता है।

हमलावरों ने स्थानीय सरकार को मेल द्वारा उनसे संपर्क करने के लिए आमंत्रित किया [ईमेल संरक्षित] (हाँ, यांडेक्स)। सभी डेटा को डिक्रिप्ट करने की कुंजी प्राप्त करने के लिए, उन्होंने 100 बिटकॉइन (उस समय लगभग 73 हजार डॉलर) की मांग की। हैकरों ने यह साबित करने के लिए कि पुनर्प्राप्ति संभव है, एक बिटकॉइन के लिए एक मशीन को डिक्रिप्ट करने की भी पेशकश की। लेकिन सरकार ने अपने दम पर वायरस से निपटा, हालांकि इसमें एक दिन से अधिक का समय लगा। जहां पूरा सिस्टम बहाल किया जा रहा है, वहीं मेट्रो में सफर मुफ्त कर दिया गया है.

नगर निगम के प्रवक्ता पॉल रोज़ ने बताया, "यात्रियों पर इस हमले के प्रभाव को कम करने के लिए हमने एहतियात के तौर पर टर्नस्टाइल खोल दिए हैं।"

अपराधियों ने यह भी दावा किया कि उन्होंने सैन फ्रांसिस्को मेट्रोपॉलिटन ट्रांसपोर्टेशन एजेंसी से 30 जीबी आंतरिक दस्तावेजों तक पहुंच प्राप्त की थी और 24 घंटे के भीतर फिरौती का भुगतान नहीं करने पर उन्हें ऑनलाइन लीक करने का वादा किया था।

वैसे, एक साल पहले इसी राज्य में हॉलीवुड प्रेस्बिटेरियन मेडिकल सेंटर पर हमला हुआ था. अस्पताल के कंप्यूटर सिस्टम तक पहुंच बहाल करने के लिए हैकरों को 17 डॉलर का भुगतान किया गया।

3. डलास आपातकालीन चेतावनी प्रणाली

अप्रैल 2017 में, जनता को आपात स्थिति की सूचना देने के लिए रात 23:40 बजे डलास में 156 आपातकालीन सायरन बजाए गए। वे दो घंटे बाद ही इन्हें बंद कर पाए। इस दौरान, 911 सेवा को स्थानीय निवासियों से हजारों अलार्म कॉल प्राप्त हुईं (घटना से कुछ दिन पहले, तीन कमजोर बवंडर डलास क्षेत्र से गुजरे, जिससे कई घर नष्ट हो गए)।

2007 में डलास में एक आपातकालीन अधिसूचना प्रणाली स्थापित की गई थी, जिसमें फेडरल सिग्नल द्वारा सायरन की आपूर्ति की गई थी। अधिकारियों ने यह नहीं बताया कि सिस्टम कैसे काम करता है, लेकिन कहा कि वे "टोन" का उपयोग करते हैं। ऐसे सिग्नल आमतौर पर डुअल-टोन मल्टी-फ़्रीक्वेंसी (DTMF) या ऑडियो फ़्रीक्वेंसी शिफ्ट कीइंग (AFSK) का उपयोग करके मौसम सेवा के माध्यम से प्रसारित किए जाते हैं। ये एन्क्रिप्टेड कमांड हैं जो 700 मेगाहर्ट्ज की आवृत्ति पर प्रसारित किए गए थे।

शहर के अधिकारियों ने सुझाव दिया कि हमलावरों ने चेतावनी प्रणाली के परीक्षण के दौरान प्रसारित किए गए ऑडियो संकेतों को रिकॉर्ड किया और फिर उन्हें वापस चलाया (एक क्लासिक रीप्ले हमला)। इसे अंजाम देने के लिए, हैकर्स को केवल रेडियो फ्रीक्वेंसी के साथ काम करने के लिए परीक्षण उपकरण खरीदना था; इसे विशेष दुकानों में बिना किसी समस्या के खरीदा जा सकता है।

अनुसंधान कंपनी बैस्टिल के विशेषज्ञों ने कहा कि इस तरह के हमले को अंजाम देने का मतलब है कि हमलावरों ने शहर की आपातकालीन अधिसूचना प्रणाली, आवृत्तियों और कोड के संचालन का गहन अध्ययन किया है।

डलास के मेयर ने अगले दिन एक बयान जारी किया कि हैकरों को ढूंढा जाएगा और दंडित किया जाएगा, और टेक्सास में सभी चेतावनी प्रणालियों का आधुनिकीकरण किया जाएगा। हालाँकि, अपराधी कभी नहीं मिले।

***
स्मार्ट शहरों की अवधारणा गंभीर जोखिमों के साथ आती है। यदि किसी महानगर की नियंत्रण प्रणाली हैक हो जाती है, तो हमलावरों को यातायात स्थितियों और रणनीतिक रूप से महत्वपूर्ण शहर की वस्तुओं को नियंत्रित करने के लिए दूरस्थ पहुंच प्राप्त हो जाएगी।

डेटाबेस की चोरी के साथ जोखिम भी जुड़े हुए हैं, जिसमें न केवल पूरे शहर के बुनियादी ढांचे के बारे में जानकारी शामिल है, बल्कि निवासियों का व्यक्तिगत डेटा भी शामिल है। हमें अत्यधिक बिजली की खपत और नेटवर्क अधिभार के बारे में नहीं भूलना चाहिए - सभी प्रौद्योगिकियां उपभोग की गई बिजली सहित संचार चैनलों और नोड्स से जुड़ी हुई हैं।

IoT डिवाइस मालिकों की चिंता का स्तर शून्य के करीब पहुंच रहा है

2017 में, ट्रस्टलुक ने अपनी सुरक्षा के बारे में IoT डिवाइस मालिकों की जागरूकता के स्तर का एक अध्ययन किया। यह पता चला कि 35% उत्तरदाता डिवाइस का उपयोग शुरू करने से पहले डिफ़ॉल्ट (फ़ैक्टरी) पासवर्ड नहीं बदलते हैं। और आधे से अधिक उपयोगकर्ता हैकर हमलों से बचने के लिए तृतीय-पक्ष सॉफ़्टवेयर बिल्कुल भी इंस्टॉल नहीं करते हैं। 80% IoT डिवाइस मालिकों ने मिराई बॉटनेट के बारे में कभी नहीं सुना है।

साथ ही, इंटरनेट ऑफ थिंग्स के विकास के साथ, साइबर हमलों की संख्या में केवल वृद्धि होगी। और जब कंपनियां बुनियादी सुरक्षा नियमों को भूलकर "स्मार्ट" डिवाइस खरीद रही हैं, तो साइबर अपराधियों को लापरवाह उपयोगकर्ताओं से पैसा कमाने के अधिक से अधिक अवसर मिल रहे हैं। उदाहरण के लिए, वे DDoS हमलों को अंजाम देने के लिए या अन्य दुर्भावनापूर्ण गतिविधियों के लिए प्रॉक्सी सर्वर के रूप में संक्रमित उपकरणों के नेटवर्क का उपयोग करते हैं। और यदि आप सरल नियमों का पालन करें तो इनमें से अधिकांश अप्रिय घटनाओं को रोका जा सकता है:

• डिवाइस का उपयोग शुरू करने से पहले फ़ैक्टरी पासवर्ड बदलें
• अपने कंप्यूटर, टैबलेट और स्मार्टफ़ोन पर विश्वसनीय इंटरनेट सुरक्षा सॉफ़्टवेयर स्थापित करें।
• खरीदने से पहले अपना शोध करें। उपकरण स्मार्ट होते जा रहे हैं क्योंकि वे बहुत सारा व्यक्तिगत डेटा एकत्र करते हैं। आपको पता होना चाहिए कि किस प्रकार की जानकारी एकत्र की जाएगी, इसे कैसे संग्रहीत और संरक्षित किया जाएगा, और क्या इसे तीसरे पक्ष के साथ साझा किया जाएगा।
• फर्मवेयर अपडेट के लिए डिवाइस निर्माता की वेबसाइट नियमित रूप से जांचें
• इवेंट लॉग का ऑडिट करना न भूलें (मुख्य रूप से सभी यूएसबी पोर्ट उपयोग का विश्लेषण करें)

स्रोत: www.habr.com