Godinama smo Kindle smatrali potpuno bezopasnim uređajem, gotovo kao papirna knjiga s ekranom. Međutim, stvarnost je da on također može biti ulaz za cyber napade ako se određeni sigurnosni propusti kombiniraju sa zlonamjernim e-knjigama. To nije baš uobičajeno, ali mogućnost postoji i vrijedi biti svjestan toga kako biste izbjegli neugodna iznenađenja s vašim ličnim i bankovnim podacima.
Nedavno je nekoliko istraga kompanija poput Check Point Research pokazalo da se jednostavna e-knjiga može koristiti za preuzimanje kontrole nad Kindleom , brisanje njegovog sadržaja, pretvaranje u bota ili čak krađu Amazonovih akreditiva i informacija o plaćanju. Pogledajmo detaljnije šta se dogodilo, kako su ove ranjivosti funkcionirale, šta je Amazon učinio da ih popravi i, prije svega, šta možete učiniti da biste odgovorno koristili svoj Kindle bez nepotrebne paranoje.
Može li e-knjiga zaraziti vaš Kindle zlonamjernim softverom?
Pitanje koje mnogi ljudi postavljaju je vrlo jednostavno: „Ako preuzmem besplatne knjige s interneta, mogu li one zaraziti moj Kindle virusom? “ Dugačak odgovor je da, iako nije uobičajeno, bilo je slučajeva u kojima je manipulirana datoteka e-knjige iskoristila ranjivosti u softveru čitača za izvršavanje zlonamjernog koda.
Tipičan korisnik bi mogao preuzeti e-knjige na svoj telefon ili računar sa besplatnih web stranica za e-knjige, a zatim ih prenijeti putem USB-a ili pomoću funkcije Pošalji na Kindle . Sama činjenica da dolaze sa web stranice za preuzimanje ne znači automatski da su opasne, ali ako neko dizajnira datoteku posebno da bi iskoristio ranjivost firmvera, ta knjiga može postati vektor napada.
Prema objavljenim analizama, sam format e-knjige može skrivati posebno izrađen kod dizajniran za pokretanje lanca iskorištavanja kada Kindle obrađuje datoteku. U praksi, to znači da kada se knjiga otvori, uređaj pogrešno interpretira određene podatke, omogućavajući napadaču da izvršava naredbe s povišenim privilegijama.
Najneugodniji aspekt ovih napada je to što korisnik ne mora učiniti ništa neobično : dovoljno je jednostavno preuzeti e-knjigu, dozvoliti joj da stigne na uređaj i otvoriti je kao i bilo koju drugu knjigu. Nema iskačućih prozora ili čudnih zahtjeva; ranjivost se iskorištava u pozadini.
Nalazi Check Point Researcha o Kindleu i zlonamjernom softveru
Veliki šok je uslijedio kada je Check Point Research (CPR) objavio istragu usmjerenu na sigurnost Amazon Kindlea . Njihov tim za obavještajne podatke o prijetnjama odlučio je temeljito analizirati najpopularniji čitač e-knjiga na svijetu i otkrio nekoliko softverskih ranjivosti koje su omogućavale vrlo ozbiljne napade.
U ovom testu, istraživači su pripremili zlonamjernu e-knjigu posebno dizajniranu da iskoristi greške u internoj obradi datoteka Kindlea . Nakon što bi korisnik otvorio e-knjigu, lanac zlonamjernog softvera bi se automatski pokrenuo bez ikakve daljnje potrebne akcije: bez dugmadi, bez potvrda i bez dodatne instalacije.
Prema izvještajima, ako bi napad bio uspješan, sajber kriminalac bi mogao preuzeti potpunu kontrolu nad uređajem . To je uključivalo mogućnost krađe tokena uređaja, pristupa osjetljivim informacijama kao što su podaci za pristup Amazon računu, pa čak i bankovnim podacima povezanim s računom koji se koristi za kupovinu knjiga ili plaćanje pretplata poput Kindle Unlimited-a.
Eusebio Nieva, tehnički direktor Check Point Softwarea za Španiju i Portugal, objasnio je da se Kindle uređaji često doživljavaju kao "bezopasni" uređaji , ali su u suštini minijaturni računari povezani na internet. To znači da dijele mnoge iste rizike kao i mobilni telefon ili računar; samo što ih obično ne smatramo prioritetnom metom.
U provedenim testovima, CPR je potvrdio da se zlonamjerna e-knjiga može preuzeti iz bilo koje virtualne biblioteke : ne samo sa web stranica sumnjive reputacije, već i iz same Kindle trgovine korištenjem funkcije samostalnog izdavanja, pa čak i putem sistema "Pošalji na Kindle putem e-pošte".
Kako zlonamjerni napadi na e-knjige funkcionišu na Kindleu
Opći mehanizam napada koji je dokumentirao Check Point bio je relativno jednostavan iz perspektive korisnika: primili su ili preuzeli naizgled normalnu knjigu, otvorili je i odatle se aktivirao zlonamjerni softver . Složenost je ležala u načinu na koji je datoteka iskoristila interne ranjivosti u firmveru Kindlea.
U tehničkoj demonstraciji, zlonamjerna e-knjiga je uspjela izvršiti kod s privilegijama superkorisnika unutar sistema čitača . To je omogućilo nametljive radnje poput povezivanja na udaljeni server napadača, zaključavanja ekrana, manipuliranja sadržajem interne memorije i prikupljanja osjetljivih podataka pohranjenih na uređaju.
Potencijalne posljedice su išle daleko dalje od uništavanja samo nekoliko knjiga. CPR tim je pokazao da napadač može izbrisati cijelu korisnikovu biblioteku, pretvoriti Kindle u bota unutar zombi mreže za napad na druge računare na istoj lokalnoj mreži ili pristupiti lozinkama, kolačićima i vjerodajnicama povezanog Amazon računa.
Nadalje, ove ranjivosti su otvorile vrata napadima usmjerenim na jezik, regiju ili demografsku grupu . Samo objavljivanje vrlo privlačne besplatne e-knjige na određenom jeziku (na primjer, rumunski bestseler) dovoljno je da se osigura da gotovo sve žrtve budu iz te zemlje ili govore tim jezikom - što je vrlo atraktivna meta za kampanje sajber kriminala ili sajber špijunaže.
Još jedan relevantan faktor koji su istraživači primijetili je da tradicionalni antivirusni programi obično ne skeniraju e-knjige kao da su izvršne datoteke . To znači da knjiga modificirana u zlonamjerne svrhe može proći neotkrivena u sigurnosnim skeniranjima, biti dostupna besplatno u online bibliotekama (uključujući Kindle Store) i akumulirati preuzimanja bez izazivanja sumnje.
Samostalno objavljivanje na Kindle Store-u i servisu Send to Kindle kao vektori napada
Jedan od ključnih aspekata cijele ove priče je nevjerovatna lakoća s kojom Amazon dozvoljava samostalno izdavanje knjiga . Svako može postaviti svoju e-knjigu, bez prolaska kroz tradicionalnog izdavača ili suočavanja sa prestrogim uredničkim kontrolama - fantastično za nezavisne autore, ali i nešto što napadači mogu iskoristiti.
Check Point objašnjava da bi sajberkriminalci mogli postaviti zlonamjernu knjigu u Kindle Store prerušenu u besplatnu knjigu, s potpuno nevinim izgledom. Korisnici, privučeni sadržajem ili besplatnom cijenom, preuzeli bi je, a od tada bi se ranjivost aktivirala kada bi otvorili datoteku na svom uređaju.
Još jedan osjetljiv kanal je funkcija koja vam omogućava slanje dokumenata na čitač putem e-pošte , koju mnogi znaju kao Pošalji na Kindle. Svaki korisnik ima posebnu adresu koja završava na kindle.com; svaka datoteka poslana s ovlaštene adrese transformira se u čitljivu knjigu na čitaču.
Ako ta lista ovlaštenih pošiljatelja nije pravilno konfigurirana, bilo tko bi mogao poslati datoteku na vlasnikov Kindle bez njegovog znanja. U scenariju napada, netko bi mogao pokušati iskoristiti ovaj sistem kako bi direktno na uređaj ubacio manipuliranu e-knjigu, vjerujući da će je korisnik normalno otvoriti.
Stručnjaci stoga preporučuju da pregledate postavke za slanje na Kindle i ograničite ih samo na pouzdane adrese . To smanjuje rizik od primanja neočekivanih dokumenata koji mogu sadržavati zlonamjerni sadržaj osmišljen za iskorištavanje budućih ili nepoznatih ranjivosti.
Ozbiljnost ranjivosti i rizika za bankarske podatke
Ranjivosti otkrivene u Kindleu nisu bile samo kozmetički nedostaci; prema Check Pointu, mogle bi "prouzrokovati ozbiljnu štetu" ako bi dospjele u pogrešne ruke . Ne samo da je bio ugrožen integritet samog čitača, već i privatnost i sigurnost povezanog Amazon računa, uključujući potencijalne podatke o naplati.
Kompromitovanjem uređaja, napadač bi mogao ukrasti bilo koje informacije pohranjene na Kindleu : od internog tokena koji ga identificira do Amazon usluga, do pristupnih podataka, kolačića sesije i drugih tehničkih podataka koji omogućavaju povezivanje uređaja s korisničkim računom.
U ekstremnim scenarijima, ovo bi moglo dovesti do toga da sajber kriminalac kupi sadržaj na računu žrtve, pristupi informacijama o plaćanju ili koristi te podatke u kombinaciji s drugim krađama za sofisticiranije prevare. Iako nije dokumentovana nijedna stvarna velika kampanja zasnovana na ovom iskorištavanju, potencijal je postojao i bio je znatan.
Nadalje, pretvaranjem Kindlea u bota, napadač je dobio još jedan dio svoje infrastrukture za sajber kriminal. Naizgled nevin čitalac mogao bi učestvovati u napadima na druge uređaje na lokalnoj mreži , kao što su računari, mobilni telefoni ili čak ruteri, pojačavajući utjecaj upada koji je inicirala jednostavna e-knjiga.
Stručnjaci također naglašavaju da su ove ranjivosti bile posebno atraktivne za ciljane napade , budući da vrlo popularna knjiga u određenoj zemlji može postati idealan trojanski konj za dosezanje hiljada građana s vrlo specifičnim profilom, a da pritom ne izazove sumnju.
Vremenski okvir problema i Amazonova zakrpa (firmver 5.13.5)
S obzirom na obim otkrića, Check Point je postupio u skladu sa svojom procedurom odgovornog otkrivanja informacija. U februaru 2021. godine, obavijestio je Amazon o sigurnosnim ranjivostima pronađenim u Kindleu i dostavio potrebne tehničke detalje kako bi proizvođač mogao istražiti i ispraviti problem.
Nakon analize izvještaja, Amazon je razvio ažuriranje firmvera koje je uključivalo zakrpu za zatvaranje ranjivosti koje je zlonamjerni e-book iskoristio . Ova ispravka je objavljena u aprilu 2021. godine kao dio Kindle softverske verzije 5.13.5.
Ažuriranje je automatski distribuirano na sve uređaje povezane na internet . Drugim riječima, ako se Kindle redovno povezivao na Wi-Fi mrežu i imao omogućena automatska ažuriranja, preuzeo bi i instalirao novi firmver bez ikakve daljnje intervencije korisnika.
Međutim, mnogi čitači često ostaju nepovezani duži period ili se koriste u vrlo izolovanom režimu, bez česte sinhronizacije . U tim slučajevima, uređaj može koristiti stariju verziju firmvera i ostati ranjiv osim ako se ne izvrši ručno ažuriranje ili ako je dovoljno dugo povezan na mrežu.
Nekoliko izvora insistira na tome da, iako nema dokaza o velikoj, masovnoj kampanji iskorištavanja ovog buga , ranjivost je bila stvarna i potencijalno vrlo opasna. Dobra vijest je da je specifičan problem koji je otkrio Check Point riješen sve dok uređaj ima instaliranu zakrpu.
Rizici eksperimentalnog preglednika i drugi manje očigledni vektori
Nisu svi rizici na Kindleu povezani s knjigama. Tu je i takozvani eksperimentalni preglednik , koji neki korisnici povremeno koriste za pregledavanje jednostavnih web stranica. Iako je njegova funkcionalnost ograničena, on je i dalje ulaz na internet i, stoga, potencijalno sredstvo za izlaganje zlonamjernom sadržaju.
Postoje izvještaji ljudi koji opisuju kako se, prilikom pristupa web stranici putem preglednika svog Kindlea, uređaj počeo čudno ponašati , naglo zatvarajući preglednik i trenutno se zamrzavajući. U strahu od mogućeg napada, neki pribjegavaju drastičnim mjerama poput brisanja kolačića i predmemorije, zatvaranja stranice, pa čak i vraćanja Kindlea na tvorničke postavke.
U većini slučajeva, ovakvo ponašanje je više uzrokovano greškama u pregledniku ili loše optimiziranim web stranicama nego stvarnim napadom. Međutim, kada su kreditne ili debitne kartice ili usluge poput Amazon Primea povezane s računom, zabrinutost korisnika je sasvim razumljiva.
Ako primijetite nešto neobično tokom pregledavanja na svom Kindleu, razuman postupak je zatvaranje preglednika, brisanje podataka pregledavanja i, ako ste sumnjičavi, provjera ažuriranja uređaja . Vraćanje na tvorničke postavke je drastičnija opcija koja vraća uređaj u početno stanje, brišući postavke i lokalni sadržaj (ali ne i knjige pohranjene u oblaku).
Važno je shvatiti da, iako je tehnički moguće otkriti ranjivosti povezane s pregledavanjem weba na Kindleu, to nije ni najproučavaniji ni najjavnije iskorišteni vektor napada . Većina fokusa je bila na samim e-knjigama i načinu na koji se njima upravlja unutar sistema.
Osnovni koraci za sigurno korištenje Kindlea protiv zlonamjernog softvera
Pored tehničkih detalja, ono što svakog čitaoca zanima jeste da zna šta može učiniti na dnevnoj bazi kako bi smanjio rizike . Srećom, uz nekoliko smjernica zdravog razuma, vjerovatnoća problema može se znatno smanjiti bez žrtvovanja praktičnosti uređaja.
Prvi korak je da uvijek ažurirate svoj Kindle na najnoviju dostupnu verziju firmvera . Ako ga obično držite isključenog iz struje, dobra je ideja da ga s vremena na vrijeme povežete na Wi-Fi i provjerite u Postavkama da li je softver ažuriran. Ovo je ključno jer se sigurnosne zakrpe isporučuju putem ovih ažuriranja.
Također je preporučljivo biti oprezan u vezi s porijeklom e-knjiga koje preuzimate . Ovdje se ne radi o demoniziranju svih besplatnih web stranica za knjige, već o izbjegavanju sumnjivih stranica, čudnih preuzimanja ili datoteka koje se neočekivano pojavljuju. Što više vjerujete izvoru knjige, manja je vjerovatnoća da će sadržavati nešto sumnjivo.
Što se tiče funkcije Pošalji na Kindle, vrijedi otići u postavke vašeg računa i pregledati listu ovlaštenih adresa e-pošte . Idealno bi bilo da sadrži samo vaše vlastite adrese ili adrese ljudi i usluga kojima zaista vjerujete. Što manje adresa e-pošte može slati datoteke direktno na vaš Kindle, to bolje.
Konačno, vrijedi zapamtiti da Kindle, poput mobilnog telefona ili računara, ne treba posuđivati bilo kome za instaliranje stvari ili povezivanje na nepoznate mreže . Iako se može činiti kao uređaj "samo za čitanje", dijeli mnoge iste osnovne principe digitalne higijene kao i drugi povezani uređaji.
Gledajući širu sliku, jasno je da Kindle nije bezopasna igračka, ali nije ni tempirana bomba. Uz zakrpe koje je Amazon objavio, istraživanja koja su izašla na vidjelo i minimalne mjere opreza od strane korisnika, čitanje na Kindleu ostaje jedan od najpogodnijih i, generalno, sigurnih načina uživanja u digitalnim knjigama , sve dok ne zaboravimo da se ispod e-ink ekrana nalazi mali računar koji također zaslužuje zaštitu.