اختطف هاكرز الآلاف من أجهزة بث كروم كاست Chromecast المعرضة للخطر من أجل تحذير المستخدمين من ثغرة أمنية تؤثر على الجهاز، وهي الثغرة الأمنية التي قامت جوجل بتجاهلها لمدة تقرب من خمس سنوات، لكن باحثين أمنيين آخرين يقولون إن هذا الخطأ يمكن استخدامه في هجمات أكثر ضررًا في حال ترك دون تصحيح، حيث أجبر الهاكرز أجهزة كروم كاست المصابة على عرض إشعار منبثق يمكن مشاهدته على التلفزيون المتصل، محذرين المستخدم من أن جهاز التوجيه الذي تم تهيئته بطريقة خاطئة يعرض جهاز البث والتلفزيون الذكي للقراصنة.
وأصبح الجناة المعروفين باسم TheHackerGiraffe و J3ws3r أحدث أشخاص يعرفون كيفية خداع أجهزة بث جوجل لجعلها تشغل أي مقطع فيديو يوتيوب يريدونه، بما في ذلك مقاطع الفيديو التي صنعت خصيصًا، كما طلب الهاكرز من المستخدمين الاشتراك في قناة نجم منصة يوتيوب المسمى PewDiePie، وهو أحد مستخدمي يوتيوب المشهورين من السويد واسمه الحقيقي Felix Kjellberg.
ويستغل هذا الخطأ، الذي يطلق عليه اسم CastHack، نقطة ضعف في كل من كروم كاست وجهاز التوجيه الذي يتصل به، وتعمد بعض أجهزة التوجيه المنزلية إلى تمكين بروتوكول UPnP، وهو بروتوكول للشبكات يمكن استغلاله بطرق عديدة، حيث يقوم UPnP بإعادة توجيه المنافذ من الشبكة الداخلية إلى شبكة الإنترنت، مما يجعل أجهزة كروم كاست والأجهزة الأخرى قابلة للعرض ويمكن الوصول إليها من أي مكان على الإنترنت.
وأوضح الهاكرز أنه ينبغي على المستخدمين تعطيل UPnP لحل المشكلة، وقال متحدث باسم شركة جوجل: “لقد تلقينا تقارير من المستخدمين الذين تم تشغيل مقاطع فيديو غير مصرح بها على أجهزة التلفزيون لديهم عبر جهاز كروم كاست. هذا ليس مشكلة مع كروم كاست على وجه التحديد، بل هو نتيجة للإعدادات الخاطئة لجهاز التوجيه الذي يجعل الأجهزة الذكية، بما في ذلك كروم كاست، قابلة للوصول بشكل عام”.
موضوعات ذات صلة بما تقرأ الآن:
وكانت شركة الأمن Bishop Fox قد عثرت في عام 2014 على الثغرة التي تسمح بخطف أجهزة كروم كاست، أي بعد فترة قصيرة من ظهور الجهاز، حيث وجد الباحثون أن هجوم Chromecast deauth قادر على فصل جهاز كروم كاست من الشبكة اللاسلكية الموصول بها، فيما اكتشفت شركة الأمن السيبراني Pen Test Partners أن جهاز كروم كاست كان لا يزال عرضة لهجمات Chromecast deauth بعد ذلك بعامين.
ويقول كين مونرو Ken Munro، الذي أسس Pen Test Partners: “ليس من المستغرب أن يتمكن شخص آخر من العثور على الثغرة بالنظر إلى أن شركة Bishop Fox قد عثرت عليها في عام 2014 فيما عثرنا عليها نحن في عام 2016″، وقالت جوجل إنها تعمل على إصلاح ثغرة Chromecast deauth.
ويبدو أن طريقة الهجوم مختلفة، لكن طريقة الاستغلال هي نفسها، حيث يمكن استغلال CastHack عبر الإنترنت، وقال مونرو إنه من السهل استغلال الأجهزة المنزلية الذكية الأخرى مثل Amazon Echo من خلال اختطاف جهاز كروم كاست وإجباره على تشغيل الأوامر الصوتية التي تكون بصوت مرتفع بما يكفي ليتم التقاطها بواسطة الميكروفون.
وكان TheHackerGiraffe قد قام سابقًا باختطاف ما يقرب من 50 ألف طابعة في جميع أنحاء العالم لطبع منشورات تحث الناس على الاشتراك في قناة يوتيوب PewDiePie، حيث تم إرسال الرسائل إلى أشخاص عشوائيين متواجدين في أماكن مختلفة، واستغل الهاكر الطابعات متعددة الوظائف المتطورة الموجودة في الشركات الكبيرة إلى جانب طابعات الإيصالات الصغيرة المحمولة في محطات الوقود والمطاعم.
