Файлы для Windows с DRM-защитой можно использовать для деанонимизации пользователя Tor

Специалисты из HackerHouse провели исследование атаки с использованием социальной инженерии через файлы, оснащенные защитой Digital Rights Management (DRM). Суть атаки заключается в получении информации о пользователе через подмену DRM-подписи и использования подставного URL, который будет автоматически открываться при запуске файла через Windows Media Player.

Реализации подобной атаки способствует сам принцип работы DRM-защиты, которая при запуске файла запрашивает на сетевом сервере ключ шифрования для аудио или видеопотока файла. Как следствие, DRM-файл при наличии подключения к сети может создать несанкционированный запрос по указанному ему адресу, чем и пользуются злоумышленники для перенаправления пользователя на подставные ресурсы.

Атаки с использованием DRM были известны еще более десяти лет назад — в 2005 году, а многие специалисты в области информационной безопасности выступали против использования столь своевольной технологии, которая, однако, до сих пор жива.

Если кто-то решит деанонимизировать пользователя сети Tor, ему будет достаточно предоставить жертве (с использованием инструментов социальной инженерии) медиа-файл с измененной DRM-подписью, а точнее с измененным в ней URL авторизации. При запуске файла будет принудительно создан запрос с реального адреса жертвы.

Существует два вида подобной атаки: «дешевый» и «дорогой». При «дешевом» сценарии развития событий, пользователю после запуска опасного DRM-файла Windows Media Player предложит перейти на внешний сайт для авторизации с указанием URL перенаправления:

Появляется подобное оповещение из-за того, что файл был подписан «криво», без использования специализированного ПО по созданию DRM-защиты, то есть бесплатно. Очевидно, если жертва пользуется Tor, то она с большой долей вероятности не будет переходить по странным URL, которые ему предлагает проигрыватель.

Но существует и второй, «дорогой» вариант, когда оповещение появляться не будет. Происходит это в случае, когда DRM-файл подписан ПО Windows Media Encoder или Microsoft Expression Encoder с получением реальной DRM-подписи. Стоимость создания одного такого файла составляет около $10 000.

Подобный ценник работает как «paywall» против подавляющего большинства хакеров, не готовых выложить такую сумму на точечную атаку, которая может и не состояться из-за необходимости использования приемов социальной инженерии (ведь этот файл нужно еще и «скормить» жертве).

Однако, атака подобной стоимости, целью которой является деанонимизация пользователя, может быть проведена структурами, для которых $10 000 — капля в их бюджете. Конечно же, речь идет о спецслужбах, которые давно и активно ведут борьбу против анонимности в сети Интернет. Кроме того, Microsoft активно сотрудничает с рядом спецслужб и правительств и необходимый файл для властных структур может быть создан и бесплатно.

Исследователи из HackerHouse отмечают, что эта атака не направлена против сети Tor или TorBrowser, но позволяет заинтересованным лицам выудить у жертвы ее реальный ip-адрес, то есть деанонимизировать.

Будьте бдительны.
Источник: Хабрахабр

Philosoph005 писал(а):

avwva Хост - 4G/4G+ (на левое лицо) - Duble VPN - Дедик - Duble VPN - Дедик - Duble VPN - TOR/i2P - Internet - и вас крайне сложно найти.

P.S. не забывайте после использования менять как минимум 4G/4G+ свистки

А мисье знает толк в "извращениях"... :смех:

Добавлено спустя 4 минуты 10 секунд:

FOMKAVAM писал(а):

Хацкеры обитают на профильных ресурсах и там черпают информацию, либо паранойят и перестраховываются.
Госструктуры, по очевидным причинам, итак знают что да как.

И кураторы из ФСБ/АНБ этих хацкеров сидят на тех же ресурсах...

Добавлено спустя 2 минуты 8 секунд:

Была же новость что АНБ включает в трек лист всех кто заходит на сайт тор, а основным донатором проекта тор является ЦРУ. Что как бы намекает что ломать на турбобейскики через тор компьютеры выборного штаба Хилари Клинтон явно было плохой идеей...

А чо, правда существуют хацкеры, которые пользуются видоус медиа плеером?!?

volhov18 так не хацкеры же пользуются им, а юзеры))) Чукча не читатель - чукча писатель?!

бредятина.
Если вы пользуетесь торбраузером, то соответственно у вас все другие сетевые приложения смотрят в сеть напрямую.
Это все равно, что деанонимизировать пользователя при помощи сетевых игр, скайпов, асек итп.
При использовании шлюза с торпрокси у них ничего не получится деанонимизировать