Sekoia: फर्जी वेबसाइट से iPhone और Android की जासूसी

असली जैसी साइट और नकली न्योते

हमलावरों ने असली साइटों से मिलते-जुलते पते बनाए। एक उदाहरण अमेरिका की आज़ादी के 250 साल के जश्न से जुड़ी वेबसाइट है, जिसकी नकल में दुर्भावनापूर्ण कोड डाला गया, जो पेज खुलते ही चल पड़ता है। रूस-यूक्रेन युद्ध से जुड़ी अन्य साइटें और लंदन के रैफल्स होटल की आधिकारिक साइट जैसा फर्जी पेज भी इस्तेमाल हुआ। निशाना बने लोगों को लिंक खोलने के लिए राज़ी करने हेतु नकली कैलेंडर इन्वाइट, इवेंट नोटिफिकेशन और सोच-समझकर तैयार किए गए संदेश भेजे गए।

हमला कई चरणों में होता है। यूज़र के फर्जी साइट पर पहुंचते ही JavaScript कोड ब्राउज़र, डिवाइस और ऑपरेटिंग सिस्टम की जांच करता है। इस जानकारी के आधार पर हमलावर तीन अलग-अलग भेद्यता शृंखलाओं में से उपयुक्त तरीका चुनते हैं। कुछ हमले «Zero-Click» तकनीक पर टिके हैं, यानी हमला पहुंचने के बाद पीड़ित को लिंक दबाने या फाइल डाउनलोड करने जैसा कुछ नहीं करना पड़ता।

सुधरी खामियां फिर भी खतरा क्यों

ये हमले «N-day» भेद्यताओं पर आधारित हैं। ये वे खामियां हैं जो पहले खोजी जा चुकी हैं और जिन्हें आधिकारिक अपडेट से ठीक किया जा चुका है, लेकिन जिन डिवाइस में अपडेट नहीं हुआ, उन पर वे अब भी इस्तेमाल हो सकती हैं। यानी अपडेट टालने वाले यूज़र जोखिम में रहते हैं।

बचाव के लिए iOS या Android का नवीनतम वर्ज़न तुरंत इंस्टॉल करें, ऐप्स और ब्राउज़र अपडेट रखें, अनजान संदेशों और कैलेंडर न्योतों के लिंक न खोलें और निजी जानकारी डालने से पहले वेबसाइट का पता जांचें। वेबसाइट का रूप असली जैसा हो सकता है, इसलिए सिर्फ डिज़ाइन पर भरोसा न करें।