Skip to content

ONHEXGROUP

اخبار دنیای امنیت سایبری

  • اخبار
    • آسیب پذیری امنیتی
    • آنالیز بدافزار
    • کنفرانس ،دوره ، وبینار ، لایو ، CTF
    • بازیگران تهدید
    • توسعه اکسپلویت
    • افشای اطلاعات
    • باگ بانتی
    • تیم آبی
    • تیم قرمز
    • امنیت وب
  • دوره های آموزشی
    • دوره رایگان مهندسی معکوس نرم افزار
    • دوره ی رایگان بررسی ساختار فایلهای PE (Portable Executable)
  • لیست های ویژه
    • موتورهای جستجو برای امنیت سایبری
    • کاتالوگ KEV آژانس CISA
    • آسیب پذیری های وردپرس
      • آسیب پذیری پلاگین ها
      • آسیب پذیری های هسته
      • آسیب پذیری تم ها
    • محصولات خارج از پشتیبانی مایکروسافت
      • محصولات مایکروسافتی که در سال 2022 پشتیبانی نمیشن
      • محصولات مایکروسافتی که در سال 2023 پشتیبانی نمیشن
      • لیست محصولات مایکروسافتی که در سال 2024 پشتیبانی نمیشن
      • لیست محصولات مایکروسافتی که در سال 2025 پشتیبانی نمیشن
    • معرفی فیلم ها و سریالهای مرتبط با هک و امنیت
  • آموزش های ویدیویی
  • انتشارات
    • مجله
    • مقالات
    • پادکست
  • پروژه ها
    • ماشین آسیب پذیر
      • وردپرس آسیب پذیر
  • حمایت مالی ( Donate)
  • تماس با ما
 
  • Home
  • اخبار
  • استخراج شماره ی 3.5 میلیارد اکانت واتساپ + وضعیت ایران
  • آسیب پذیری امنیتی
  • اخبار
  • افشای اطلاعات

استخراج شماره ی 3.5 میلیارد اکانت واتساپ + وضعیت ایران

On آبان 29, 1404
seyyid
زمان مطالعه: 5 دقیقه

یکی از مزیتهایی که واتساپ داره اینِ که اگه دنبال یک نفر باشیم، کافیِ شماره‌اش رو اضافه کنیم. واتساپ بلافاصله نشان میده که آیا این فرد در این سرویس حضور داره یا نه و معمولا عکس پروفایل و نام رو هم نمایش میده.

اگر همین ترفند رو چند میلیارد بار با تمام شماره های ممکن تکرار کنید، مشخص میشه که همین قابلیت میتونه بعنوان راهی ساده برای بدست آوردن شماره‌ی موبایل تقریبا تمام کاربران واتساپ در دنیا، بهمراه عکس پروفایل و متن هایی که در پروفایل قرار میدن، استفاده بشه. نتیجه، افشا شدن گسترده اطلاعات شخصیِ بخش عظیمی از جمعیت جهان است.

حالا محققای دانشگاه وین و SBA Research نشان دادن که تونستن با همین روش ساده‌، شماره‌ی تلفن ۳.۵ میلیارد کاربر واتساپ رو استخراج کنن. برای حدود ۵۷ درصد از این کاربران، تونستن عکس پروفایل رو هم بدست بیارن و برای ۲۹ درصد دیگه، متن پروفایل رو هم بدست آوردن.

 

 

با وجود هشدار یک محقق امنیتی دیگه در سال ۲۰۱۷ درباره‌ی همین موضوع، شرکت متا، همچنان سرعت و تعداد درخواستهایی رو که میشه از طریق نسخه‌ی وب واتساپ ارسال کرد رو، محدود نکرده و به محققا اجازه داده، حدود ۱۰۰ میلیون شماره در ساعت رو بررسی کنن.

به گفته‌ی محققا، این نتیجه اگه در قالب یک تحقیق مسئولانه جمع‌آوری نشده بود، میتونست بزرگترین نشت داده در تاریخ باشه.

Aljosha Judmayer، یکی از محققان دانشگاه وین گفته: تا جاییکه ما میدونیم، این گسترده‌ترین افشای شماره‌های تلفن و داده‌های مرتبط با کاربران است که تاکنون ثبت شده.

محققا گفتن در آوریل این موضوع رو به متا اطلاع دادن و نسخه‌ی خودشون از داده‌های ۳.۵ میلیارد شماره رو حذف کردن. تا ماه اکتبر، متا با اعمال محدودیت سختگیرانه‌تر در تعداد درخواستها، مشکل شمارش انبوه رو رفع کرده. اما تا قبل از اون، هر فرد دیگه ای هم میتونست با همین روش اسکرپینگ (Scraping)، این داده‌ها رو جمع‌ آوری کنه.

متا از محققا تشکر کرده، چون گزارش رو از طریق برنامه ی باگ بانتی ارسال کردن و داده‌های افشا شده رو اطلاعات در دسترس عمومی توصیف کرده، چون کاربرا میتونستن عکس و متن پروفایل رو خصوصی کنن.

متا همچنین اعلام کرده که هیچ مدرکی درباره‌ی سوء استفاده مهاجمان وجود نداره و پیامهای کاربران همچنان به‌ لطف رمزگذاری سرتاسری ایمن بودن.

با وجود گفته‌های متا، محققا گفتن که در استخراج این شماره‌ها نه به مکانیزم دفاعی‌ای برخورد کردن و نه چیزی رو دور زدن.

این نخستین بار هم نبود که به واتساپ درباره افشای شماره‌ها هشدار داده شده. در سال ۲۰۱۷، محقق هلندی Loran Kloeze در وبلاگی توضیح داده بود که این تکنیک شمارش شماره‌ها، امکانپذیر است و میشه با اون شماره‌ها، عکس پروفایلها و حتی زمان آنلاین بودن کاربران رو دریافت کرد. ایشون گفته بود که این داده‌ها میشه با تشخیص چهره ترکیب بشن و به دیتابیس عظیمی از اطلاعات هویتی تبدیل بشن.

متا که اون زمان فیسبوک بود، گفت این موضوع یک اشکال امنیتی محسوب نمیشه و کاربران میتونن تنظیمات حریم خصوصی خودشون رو تغییر بدن. حتی به Loran گفتن که واجد شرایط دریافت جایزه باگ بانتی هم نیست.

متا در خصوص اینکه طی این هشت سال چه اقداماتی برای محدود کردن این تکنیک انجام داده، گفته که ابزارهای مختلفی برای مقابله با اسکرپینگ توسعه داده، از جمله محدودسازی نرخ درخواستها و سامانه‌های مبتنی بر یادگیری ماشین. اما محققای دانشگاه وین نه‌ تنها کار Loran رو بازتولید کردن بلکه اون رو به سطحی بسیار گسترده‌تری رسوندن و تونستن تمام ۳.۵ میلیارد شماره‌ی ثبت‌ شده در واتساپ رو شمارش کنن.

محققا همچنین بررسی کردن که در هر کشور چند درصد کاربران اطلاعات پروفایل رو عمومی کردن. برای مثال، از میان ۱۳۷ میلیون شماره‌ی آمریکایی، ۴۴ درصد عکس پروفایل و ۳۳ درصد متن پروفایل رو عمومی کردن.

این محققا سال گذشته زمانی به مشکل شمارش شماره‌ها برخوردن که درحال بررسی داده‌هایی بودن که میشه بدون شکستن رمزگذاری، از واتساپ بدست آورد، مثلا زمان اتصال کاربران از نسخه موبایل یا دسکتاپ. اونا مشاهده کردن که هیچ محدودیتی برای سرعت درخواستها وجود نداره، بنابراین شروع به شمارش شماره‌های آمریکا کردن.

یکی از مخاطبان بالقوه این داده‌های افشا شده، کلاهبرداران و اسپمرها هستن که همیشه بدنبال پایگاه هدف میگردن.

محققا همچنین میلیونها شماره واتساپ رو در کشورهایی پیدا کردن که استفاده از این برنامه در اونا ممنوعه ، مانند ۲.۳ میلیون شماره در چین و ۱.۶ میلیون در میانمار. دولتهای این کشورها میتونستن از این افشاگری برای شناسایی کاربران غیرقانونی استفاده کنن. طبق برخی گزارشها، مسلمانان در چین تنها بخاطر داشتن واتساپ بازداشت شدن.

محققا همچنین کلیدهای رمزنگاری ۳.۵ میلیارد حساب رو هم بررسی کردن، کلیدهایی که برای دریافت پیامهای رمزگذاری‌ شده استفاده میشه.

واتساپ برای ارتباطات، از کلیدهای عمومی و خصوصی استفاده میکنه:

  • کلید خصوصی (Private Key): فقط روی گوشی کاربر ذخیره میشه و هرگز برای کسی ارسال نمیشه و برای رمزگشایی پیامهایی که دریافت میکنید، استفاده میشه.
  • کلید عمومی (Public Key): برای همه قابل مشاهده است و واتساپ هنگام افزودن یک مخاطب، این کلید عمومی رو بین کاربران ردوبدل میکنه. این کلید برای رمزگذاری پیامها استفاده میشه. بقیه با استفاده از کلید عمومی شما میتونن پیامهایی بفرستن که فقط گوشی شما با کلید خصوصی اون رو باز کنه.

واتساپ برای هر حساب یک کلید عمومی اصلی منتشر میکنه که به اون Identity Key یا Public Identity Key میگه. این کلید عمومی ازطریق سرور واتساپ به بقیه کاربران داده میشه تا بتونن پیام رو برای شما رمزگذاری کنن. این کلید کاملا عمومی است و ماهیتا باید قابل‌ دسترس باشه .

محققا متوجه شدن که تعداد قابل‌ توجهی از اکانتها از کلیدهای تکراری استفاده کردن، که یک ضعف امنیتی جدی است. چون هرکسی که همین کلید رو داشته باشه، میتونه پیام‌ها رو رمزگشایی کنه. برخی کلیدها صدها بار تکرار شده بودن و حتی ۲۰ شماره آمریکایی کلیدی داشتن که کاملا صفر بوده. محققا حدس میزنن که احتمالا این مسئله بدلیل استفاده از کلاینتهای غیررسمی واتساپ باشه، نه مشکل در خود واتساپ. برخی از این اکانتها هم مشکوک به فعالیتهای کلاهبرداری بودن.

علاوه بر مشکلات محدودسازی نرخ درخواستها، محققا گفتن که مشکل اساسی اینِ که شماره تلفنها در واقع به اندازه کافی تصادفی نیستن که به عنوان یک شناسه منحصر به فرد برای سرویسی با میلیاردها کاربر استفاده بشن. این امر باعث میشه که محدود کردن نرخ به عنوان تنها اقدام موجود برای جلوگیری از سرقت گسترده داده‌های کاربر باقی بمونه و اگه واتساپ اولویت رو به کشف راحت مخاطب برای کاربران بده، هرگز در برابر نشت حریم خصوصی کاملا ایمن نخواهد بود. اخیرا واتساپ ویژگی نام کاربری رو در نسخه بتا شروع کرده که ممکنِ رویکرد بهتری به حریم خصوصی ارائه بده.

Judmayer گفته: شماره تلفنها برای استفاده به عنوان شناسه مخفی برای حسابها طراحی نشدن، اما در عمل اینگونه استفاده میشن. اگه سرویس بزرگی داری که بیش از یک سوم جمعیت جهان از اون استفاده میکنن و این مکانیسم کشفه، این یک مشکل هستش.

 

تحلیل داده های کاربران ایرانی:

محققا برای تحقیقات خودشون گزارشی منتشر کردن که بخشی از اون آمار مربوط به داده های استخراج شده به تفکیک کشورها هستش.

اگر در این داده ها، کشور ایران رو بررسی کنیم:

  • ایران در مجموع 64,945,192 کاربر واتساپ داره.
  • اگه کل کاربران رو 3.5 میلیارد در نظر بگیریم، ایران سهم 1.88 درصدی داره.
  • در ایران به ازای هر 100 نفر، 72.08 نفر کاربر واتساپ هستن. این نشون دهنده ی درصد نفوذ واتساپ در ایران است.
  • 76.24 درصد کاربران از اندروید و 23.76 درصد کاربرا از IOS استفاده میکنن.
  • محققا تونستن تصویر پروفایل 53.58 درصد از کاربران ایرانی رو بدست بیارن.
  • محققا تونستن متن پروفایل، 23.10 درصد از کاربران ایرانی رو بدست بیارن.
  • 9.05 درصد از کاربران ایرانی، از WhatsApp Business استفاده میکنن.
  • 1.55 درصد از کاربران ایرانی، قابلیت Companion Device / Linked Devices رو فعال کردن.

 

 

منبع

 

In آسیب پذیری امنیتی اخبار افشای اطلاعاتIn leak , whatsapp , واتساپ

راهبری نوشته

تحلیل TTPهای گروه هکری ایرانی UNC1549
ضربه مرگبار مایکروسافت به روش فعالسازی غیرقانونی KMS38

دیدگاهتان را بنویسید لغو پاسخ

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *

دسته‌ها

  • Osint
  • آسیب پذیری امنیتی
  • آموزش های ویدیویی
  • آنالیز بدافزار
  • اخبار
  • افشای اطلاعات
  • امنیت وب
  • انتشارات
  • اینترنت اشیاء
  • بازیگران تهدید
  • باگ بانتی
  • پادکست
  • پروژه ها
  • توسعه اکسپلویت
  • تیم آبی
  • تیم قرمز
  • دوره های آموزشی
  • فازینگ
  • کنفرانس ،دوره ، وبینار ، لایو ، CTF
  • لیست های ویژه
  • ماشین آسیب پذیر
  • مجله
  • مصاحبه، داستان هکرها
  • مقالات
  • مهندسی معکوس نرم افزار
  • هوش مصنوعی

پست های مرتبط

  • آنالیز بدافزار
  • اخبار
  • بازیگران تهدید
seyyid
On بهمن 27, 1401فروردین 28, 1402

Havoc فریمورک جدید برای Post Exploit

  • آسیب پذیری امنیتی
  • اخبار
seyyid
On دی 23, 1402

بررسی هفتگی آسیب پذیری های منتشر شده در ZDI – (از 16 تا 22 دی)

  • آسیب پذیری امنیتی
  • آنالیز بدافزار
  • اخبار
  • بازیگران تهدید
seyyid
On بهمن 23, 1403

حمله ی زنجیره تامین روی اکوسیستم Golang

  • آسیب پذیری امنیتی
  • اخبار
seyyid
On تیر 20, 1402

اپل دهمین زیرودی خودش برای امسال اصلاح کرد

درباره ما

بعد از چندین سال فعالیت تو حوزه امنیت سایبری و تولید محتوا در شبکه های اجتماعی ، بالاخره تصمیم گرفتیم تا یه سایت راه اندازی کنیم و مطالب رو ساده تر ، در یک محیط منسجم و طبقه بندی شده به دست مخاطب برسونیم. امیدوارم که قدمی در راستای رشد امنیت سایبری کشورمون برداشته باشیم.

تگ ها

0day APT command injection Deserialization of Untrusted Data Directory Traversal FBI Fortinet Heap buffer overflow kali LockBit Memory Corruption nuclei out-of-bounds write Out of bounds read Patch Tuesday PWN2OWN Stack Buffer overflow type confusion use after free vulnerable wordpress XSS ZDI vulnerability آموزش اکسپلویت نویسی ارز دیجیتال اندروید اپل اکسپلویت باج افزار تلگرام زیرودی سیسکو فارنزیک فورتی نت فیشینگ لاک بیت لینوکس مایکروسافت هوش مصنوعی وردپرس وردپرس آسیب پذیر ویندوز پلاگین کالی کروم گوگل

شبکه های اجتماعی

    • اینستاگرم
    • تلگرام
    • توییتر
    • گیت‌هاب
    • یوتیوب
    • لینکداین
      کپی مطالب با ذکر منبع بلامانع است | 1401-1404