צוות המחקר של חברת קלארוטי, Team82, חושף טכניקת תקיפה שהייתה יכולה לאפשר לתוקפים להתחזות להתקני NAS של חברת ווסטרן דיגיטל וכך לקבל גישה למיליארדי קבצים ולמאות אלפי רשתות והתקנים ביתיים.

חברת ווסטרן דיגיטל  מספקת למשתמשים שירות ענן בשם MyCloud OS5, המאפשר למשתמשי קצה גשת למכשיר שלהם מרחוק באמצעות אפליקציה מבוססת אינטרנט או מובייל. החולשות התגלו במכשירWestern Digital My Cloud Pro ב-Series PR4100, שמטרתו לספק פתרונות אחסון לשוק ה"משרד הקטן/המשרד הביתי".

החוקרים הצליחו להוכיח כי תוקפים יכולים להתחזות למכשיר NAS של כל משתמש קצה המחובר לענן, "לגנוב" את ערוץ התקשורת בינו לבין שירותי הענן של החברה ולהפנות את משתמשי הקצה למכשיר המזויף במקום למכשיר האמתי ובכך לקבל את נתוני ההזדהות למכשירים האמתיים לצורך התחברות מרחוק. חולשות נוספות שמצא הצוות אפשרו לו למנף את ההרשאות החדשות שהושגו כדי לבצע קוד מרחוק, דבר שסיפק להם שליטה מלאה על ההתקן.

נעם משה, קרדיט: שרון בריזינוב

עוד ב-

מהפכה בתחום הביטוח: נובידאה תשתף פעולה עם מבטח סימון

לכתבה המלאה

נעם משה, חוקר סייבר בצוות Team82 של קלארוטי, אמר כי: "החולשות שמצאנו חמורות במיוחד, מאחר שהן מעמידות בסיכון נתונים של מיליוני משתמשים ברחבי העולם. יצרנים ומפתחים חייבים בעתיד להשקיע את אותם משאבי אבטחה באימות התקנים כפי שהם עושים באימות משתמשים. טכניקת ההתחזות שלנו חשפה וניצלה את העובדה שיכולות האימות של ווסטרן דיגיטל הסתמכו על נתוני זיהוי גלויים שתוקפים יכולים להשיג מרחוק, ולא על נתונים סודיים. סביר להניח שאימות מכשירים לקוי קיים בקרב פלטפורמות וספקים נוספים".