روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ شاید این خبر را شنیده باشید که کسپرسکی جاسوسیِ کلاینت‌های خود را می‌کند و یا سایرین را در این امر یاری می‌دهد. گذشته از اینها، اظهارات جدید حاکی از این است که کسپرسکی کاربران را در معرض « تزریق اسکریپت از طریق وبگاه[1]» قرار می‌دهد. در خبر امروز قصد داریم این بخشِ ماجرا را تحت پوشش قرار دهیم. پس با ما همراه شوید.
چه اتفاقی افتاد؟
روزنامه‌نگاری با نام رونالد اکنبرگ از مجله‌ی c’t گزارش داد که محصولات مصرفی شرکت کسپرسکی هنگام بازدید کاربران از سایت‌ها –در حالت آنلاین- از شناساگرهای خاصی در اسکریپت‌ها استفاده کرده است و اینکه احتمال دارد هدف این شناساگرها، شناساییِ کاربران بوده باشد.
این باگ -که نامش CVE-2019-8286 است- محصولات Kaspersky Internet Security 2019، Kaspersky Total Security 2019, Kaspersky Anti-Virus 2019 Kaspersky Small Office Security 6 و Kaspersky Free Antivirus 2019 (و همچنین نسخه‌های اولیه‌ی این پک‌های نرم‌افزاری) را آلوده کرده است. اکنبرگ با ما تماس گرفت و ما نیز به او تضمین دادیم که مشکل برطرف می‌شود. پچ مربوطه برای تمام محصولات درگیرشده در ماه ژوئن ارائه شد و تعداد زیادی از کاربران اکنون این محصولات را آپدیت کرده‌اند.
مشکل چه بود؟
اصولاً بدین صورت است که تقریباً هر صفحه‌ای که کاربری از محصولات مصرفی کسپرسکی لود می‌کند با یک کد همراه است –که از میان خیلی آیتم‌های دیگر شامل کد 32 کاراکتریِ مخصوصِ کاربر- و این کد در کل صفحات وبی برای کاربر همان یک کد باقی خواهد ماند.
شاید این باعث شده باشد صاحبان سایت‌ها (در صورتی که میزبان چنین صفحاتی بوده‌اند) بتوانند پیگیری کنند که آیا کاربر بخصوصی از محصولات کسپرسکی فلان سایت را بازدید کرده است (و یا اینکه ممکن است بعدها دوباره به چنین سایت‌هایی سر بزند) یا خیر. با این حال، برای اینکه چنین روند ردیابی اجرایی شود –که اگر اینطور شود حتی در حالت ناشناس هم عمل می‌کند- باید بین سایت‌ها تبادل اطلاعات صورت گیرد.
آیا باگ اکنون برطرف شده است؟
بله، ما در تاریخ 7 ژوئن 2019 پچی در همین راستا عرضه کردیم که به طور اتوماتیک به کاربران تمام محصولاتِ درگیر تحویل داده شد؛ بنابراین دیگر هیچ جای نگرانی وجود ندارد- اگر کامپیوتر شما از آن زمان به اینترنت وصل بوده و گذاشته‌اید محصولات آپدیت شوند.
تمام محصولات مصرفی کسپرسکی که به روز شده‌اند مجموعه شناساگرهای یکسانی را در اختیار همه‌ی کاربران قرار می‌دهند تا بدین‌ترتیب تنها چیزی که ارائه می‌دهند همان نوع محصول استفاده شده باشد (خواه آنتی‌ویروس کسپرسکی خواه اینترنت سکیوریتی و خواه چیزی دیگر). اینها به شخص خاصی محدود نمی‌شوند، از همین روست که نمی‌توانند برای ردیابی به کار کسی بیایند.
چرا چنین مشکلی پیش آمد؟
برای شناسایی اسکریپ‌های (بالقوه) آلوده روی صفحات وب پیش از اینکه شروع به اجرا کنند، محصولات کسپرسکی کد جاوا اسکریپتی را به صفحه (حین اینکه دارد لود می‌شود) تزریق می‌کنند. این قابلیت تنها مختص محصولات کسپرسکی نیست؛ اصولاً آنتی‌ویروس‌های وبی چنین عملکردی دارند. و کد جاوا اسکریپت ما نیز شامل شناساگر می‌شده است؛ که سابقاً منحصر به فرد بوده اما اکنون آن را برای همه‌ی کاربران یکسان کردیم.
با این حال دلیل کم اهمیت بودن این مسئله چیست؟
برخی‌اوقات رسانه‌ها به مشکلات ناچیز دامن می‌زنند تا اینگونه بتوانند مخاطبین خود را بیشتر کنند. در مورد ما هم چنین اتفاقی رخ داد. این مشکل به لحاظ نظری می‌تواند عواقب احتمالی داشته باشد که در زیر به سه مورد اشاره کرده‌ایم:
نخست همانیست که در فوق شرح دادیم: بازاریابان می‌توانستند به لحاظ تئوریک از این شناساگرها برای هدف قرار دادن افرادی استفاده کنند که از وبسایت‌هایشان دیدن می‌کنند. خیلی راحت‌تر است اگر بخواهیم به سیستم‌های تبلیغاتی مانند فیسبوک یا گوگل برای ردیابی کاربران متکی باشیم. در حقیقت این سیستم‌ها اطلاعات بیشتری از کاربر را در اختیار بازاریاب قرار می‌دهند. بیشتر صاحبان سایت دارند همین کار را انجام می‌دهند. پس چه نیازی است که برای چنین هدفی از شناساگرهای راه‌حل‌های امنیتی استفاده شود؟
دوم اینکه عامل مهاجم می‌توانست اطلاعات بدست‌آمده را جمع‌آوری کرده و بدافزاری بسازد مخصوص کاربرانِ محصولات کسپرسکی- و آن را بین آنها توزیع کند. این روی هر برنامه‌ی دیگری که کد وب‌پیج را از سمت کاربر تغییر می‌دهد صدق می‌کند. این سناریو خیلی نامحتمل است؛ مهاجم نه تنها باید چنین بدافزاری را بسازد که همچنین باید آن را ارسال و اجرا نیز بکند. این کار مستلزم این است که کاربر روی وبسایت آلوده به دام بیافتد؛ اما سیستم ضد فیشینگ و آنتی‌ویروس وبیِ ما علناً نمی‌گذارد کاربران صد قدمی این وبسایت‌ها هم نزدیک شوند.
سوم اینکه: پایگاه اطلاعاتی‌ای از بازدیدکنندگان وبسایت می‌توانست برای مقاصد فیشینگ مورد استفاده قرار گیرد. شاید این مورد، تنها موردی باشد که با عقل جور در می‌آید. اما باز هم می‌گوییم، این مورد هم انتخاب خوبی برای مهاجم سایبری نیست. استفاده از اطلاعاتی که به طور عمومی در دسترس است یا بتازگی لو رفته خیلی آسان‌تر است.
به هر روی، هیچکس فعالیت آلوده‌ای که سوءاستفاده از این شناساگرهای منحصر به فرد را موجب شود مشاهده نکرده است. و اکنون مشکل برطرف شده؛ اگر هم مهاجمی در کار بوده تا کنون تمام نقشه‌هایش نقش بر آب شده است. پس بله، این خبر که «کسپرسکی اجازه‌ی جاسوسی می‌دهد» تیتر بسیار غلو شده‌ای است. درست است، باگی بوده که می‌توانسته موجب ردیابی‌های نامحتمل باشد؛ اما این باگ دیگر برطرف شده و هیچ جای اغراق و تشویش اذهان نمانده است.
باید چه کرد؟
پیاده‌سازی این فیکس درست به اندازه‌ی اینکه راه‌حل امنیتی‌تان بخواهد خودش را آپدیت کند آسان است. توصیه‌ی ما به شما:
- چک کنید که راه‌حل امنیتی کسپرسکی‌تان به روز باشد. اگر به روز نیست توصیه می‌کنیم آن ر هر چه سریعتر آپدیت کنید تا بشود به طور بهینه‌تری از آن محافظت نمود. برای آپدیت محصول، روی آیکونش در system tray کلیک کرده و از منو گزینه‌ی Update را انتخاب کنید. کاربران محصولات 2020 کسپرسکی نیز باید این کار را انجام دهند؛ نسخه‌های اولیه برای حل این مشکل به پچ نیاز دارند.
- اگر هنوز هم نگرانید وبسایت‌ها بدانند دارید از راه‌حل کسپرسکی استفاده می‌کنید، تزریق اسکریپت را غیرفعال کنید. برای انجام این کار به بخش Settings رفته و بعد Network Settings را بزنید. برای تعامل با گزینه‌ی صفحات وبی زیر Traffic processing تیک گزینه‌ی Inject script into web traffic را بردارید. با این حال، در نظر داشته باشید که انجام این کار میزان محافظت را کاهش می‌دهد و ما آن را توصیه نمی‌کنیم (اما به عنوان چاره‌ی آخر می‌تواند کمک‌کننده باشد).
[1] cross-site tracking
منبع: کسپرسکی آنلاین (ایدکو)
کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکای، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.
