Το τμήμα έρευνας της Check Point Software Technologies, Check Point Research (CPR) ανακάλυψε κενά ασφαλείας στο Amazon Kindle, το πιο δημοφιλές e-reader στον κόσμο. Παραπλανώντας τα θύματά του με την προτροπή να ανοίξουν ένα κακόβουλο e-book, ένας χάκερ (threat actor) θα μπορούσε να αξιοποιήσει τις ατέλειες για να στοχεύσει συγκεκριμένες δημογραφικές ομάδες και να πάρει τον πλήρη έλεγχο μιας συσκευής Kindle, ανοίγοντας ένα μονοπάτι για την κλοπή των αποθηκευμένων σε αυτό πληροφοριών.
- Τα θύματα αρκεί απλώς να ανοίξουν ένα κακόβουλο e-book για να ενεργοποιήσουν την διαδικασία εκμετάλλευσης τους
- Την CPR ανησύχησε το ότι τα ελαττώματα ασφαλείας θα μπορούσαν να επιτρέψουν τη στόχευση συγκεκριμένων δημογραφικών ομάδων
- Η CPR αποκάλυψε υπεύθυνα τα ευρήματά της στην Amazon, η οποία προχώρησε στην ανάπτυξη διόρθωσης.
- Δεκάδες εκατομμύρια Kindles εκτιμάταιότι έχουν πωληθεί από το λανσάρισμά του το 2007
Η Check Point Research (CPR) βρήκε κενά ασφαλείας στο Amazon Kindle, το πιο δημοφιλές ηλεκτρονικό αναγνώστη στον κόσμο. Εάν αξιοποιούνταν, οι αδυναμίες θα επέτρεπαν σε έναν χάκερ να αναλάβει τον πλήρη έλεγχο του Kindle ενός χρήστη, με αποτέλεσμα την πιθανή κλοπή των token της συσκευής Amazon ή άλλων ευαίσθητων πληροφοριών που είναι αποθηκευμένες στη συσκευή. Η διαδικασία εκμετάλλευσης ενεργοποιείται με το άνοιγμα ενός και μόνο κακόβουλου e-book σε μια συσκευή Kindle. 
Η CPR έχει προγραμματίσει να παρουσιάσει τη συγκεκριμένη περίπτωση εκμετάλλευσης στο φετινό συνέδριο DEF CON στο Λας Βέγκας.
Ένα E-Book ως κακόβουλο λογισμικό
Η εκμετάλλευση περιλαμβάνει την αποστολή ενός κακόβουλου ηλεκτρονικού βιβλίου στο θύμα. Μόλις παραδοθεί το ηλεκτρονικό βιβλίο, το θύμα πρέπει απλώς να το ανοίξει για να ξεκινήσει η αλυσίδα εκμετάλλευσης. Δεν απαιτείται καμία άλλη ένδειξη ή αλληλεπίδραση εκ μέρους του θύματος για την εκτέλεση της εκμετάλλευσης. Η CPR απέδειξε ότι ένα ηλεκτρονικό βιβλίο θα μπορούσε να χρησιμοποιηθεί ως κακόβουλο λογισμικό κατά του Kindle, οδηγώντας σε μια σειρά από συνέπειες. Για παράδειγμα, ένας εισβολέας θα μπορούσε να διαγράψει τα ηλεκτρονικά βιβλία ενός χρήστη ή να μετατρέψει το Kindle σε κακόβουλο bot, επιτρέποντάς του να επιτεθεί σε άλλες συσκευές στο τοπικό δίκτυο του χρήστη.
Στόχευση δημογραφικών στοιχείων ανά γλώσσα
Τα κενά ασφαλείας επιτρέπουν φυσικά σε έναν δράστη να στοχεύσει ένα πολύ συγκεκριμένο κοινό, το οποίο αφορά σημαντικά το CPR. Για παράδειγμα, εάν ένας δράστης ήθελε να στοχεύσει μια συγκεκριμένη ομάδα ανθρώπων ή δημογραφική ομάδα, θα μπορούσε εύκολα να επιλέξει ένα δημοφιλές ηλεκτρονικό βιβλίο στη σχετική γλώσσα ή διάλεκτο για να ενορχηστρώσει μια εξαιρετικά στοχευμένη επίθεση στον κυβερνοχώρο.
Συντονισμένη δημοσιοποίηση
Η CPR γνωστοποίησε τα ευρήματά της στην Amazon τον Φεβρουάριο του 2021. Η Amazon ανέπτυξε μια διόρθωση στην έκδοση 5.13.5 της ενημέρωσης υλικολογισμικού του Kindle τον Απρίλιο του 2021. Το διορθωμένο υλικολογισμικό εγκαθίσταται αυτόματα στις συσκευές που είναι συνδεδεμένες στο διαδίκτυο.
Ο Yaniv Balmas, επικεφαλής του τμήματος Cyber Research της Check Point Software δήλωσε σχετικά:
“Βρήκαμε ευπάθειες στο Kindle που θα επέτρεπαν σε έναν εισβολέα να αναλάβει τον πλήρη έλεγχο της συσκευής. Στέλνοντας στους χρήστες του Kindle ένα μόνο κακόβουλο ηλεκτρονικό βιβλίο, ένας δράστης θα μπορούσε να έχει κλέψει οποιαδήποτε πληροφορία που ήταν αποθηκευμένη στη συσκευή, από τα διαπιστευτήρια λογαριασμού Amazon έως τις πληροφορίες χρέωσης. Το Kindle, όπως και άλλες συσκευές IoT, συχνά θεωρούνται αβλαβείς και αγνοούνται ως κίνδυνοι για την ασφάλεια. Όμως η έρευνά μας αποδεικνύει ότι κάθε ηλεκτρονική συσκευή, στο τέλος της ημέρας, είναι κάποιας μορφής υπολογιστής. Και ως εκ τούτου, αυτές οι συσκευές IoT είναι ευάλωτες στις ίδιες επιθέσεις με τους υπολογιστές. Όλοι θα πρέπει να γνωρίζουν τους κινδύνους στον κυβερνοχώρο κατά τη χρήση οποιουδήποτε συνδεδεμένου με τον υπολογιστή, ειδικά κάτι τόσο πανταχού παρόν όπως το Kindle της Amazon.
Σε αυτή την περίπτωση, αυτό που μας ανησύχησε περισσότερο ήταν ο βαθμός εξειδίκευσης των θυμάτων που θα μπορούσε να έχει γίνει η εκμετάλλευση. Φυσικά, τα κενά ασφαλείας επιτρέπουν σε έναν επιτιθέμενο να στοχεύσει ένα πολύ συγκεκριμένο κοινό. Για να χρησιμοποιήσουμε ένα τυχαίο παράδειγμα, αν ένας δράστης απειλής ήθελε να στοχεύσει τους Ρουμάνους πολίτες, το μόνο που θα χρειαζόταν να κάνει είναι να δημοσιεύσει κάποιο δωρεάν και δημοφιλές ηλεκτρονικό βιβλίο στη ρουμανική γλώσσα. Από εκεί και πέρα, ο δράστης της απειλής θα μπορούσε να είναι αρκετά σίγουρος ότι όλα τα θύματά του θα ήταν, πράγματι, Ρουμάνοι – αυτός ο βαθμός εξειδίκευσης στις δυνατότητες επιθετικής επίθεσης είναι πολύ περιζήτητος στον κόσμο του εγκλήματος στον κυβερνοχώρο και της κυβερνοκατασκοπείας. Σε λάθος χέρια, αυτές οι επιθετικές ικανότητες θα μπορούσαν να προκαλέσουν σοβαρή ζημιά, γεγονός που μας ανησυχεί πάρα πολύ. Για άλλη μια φορά, δείξαμε ότι μπορούμε να βρούμε τέτοιου είδους ευπάθειες ασφαλείας για να διασφαλίσουμε ότι θα μετριαστούν, πριν οι “πραγματικοί” επιτιθέμενοι έχουν την ευκαιρία να το κάνουν.
Η Amazon ήταν συνεργάσιμη καθ’ όλη τη διάρκεια της συντονισμένης διαδικασίας αποκάλυψης και χαιρόμαστε που ανέπτυξε ένα patch για αυτά τα ζητήματα ασφαλείας”.
