Pelkkä asiointi piraattijakelussa altistaa haavoittuvuudelle
Peli piratismin puolesta ja sen vapautta vastaan kovenee.
Netin harmaalla alueella käydään merkillistä voimien mittelöä, joka heijastuu nyt Chrome-käyttäjien arkeen. Kymmenien miljoonien Mega.nz-palveluun kirjautuneiden tilitiedot vuosivat teille tietämättömille.
Tiedostojen lataus- ja jakopalvelu Mega.nz varoittaa nyt käyttäjiään sen palveluun välillisesti tehdystä tietomurrosta.
Äskettäin piraattipalvelu Mega.nz:n Chrome-selaimeen koodatun erityisen ”laajennuksen” myötä palvelun käyttäjät altistuivat uudentyyppiselle verkkohyökkäykselle. Operaatiossa lisäosa oli korvattu yhtäkkiä rikollisella laajennuksella, ”päivitysversiolla”, joka tyhjensi serverin käyttäjätietokannat. Hyödynsaaja jäljitettiin ukrainalaiselle palvelimelle.
Taustaa: Mega-tiedostonjakopalvelu on perustettu Hongkongissa toimineen megaluokassa tekijänoikeuksia polkeneen Megauploadin seuraajaksi. Megauploadin ajojahti alkoi USA:sta. Megauploadin ”työnjatkaja” Mega on saatavilla myös suomen kielellä. Suomalais-saksalainen, Mega/Megauploadin perustaja Kim Dotcom käyttää varsinaisen kotimaansa Uuden-Seelannin verkkotunnusta .nz taktisista syistä.
Mega suorittaa 128-bittistä, toistaiseksi murtamatonta AES-salausjärjestelmää. Tiedot ovat siis poikkeuksellisen hyvin salattuja. Edes sivuston ylläpitäjät eivät tiedä, mitä käyttäjät lataavat Megan paletista.
Kyberhyökkääjät käyttivät uutta menetelmää saatuaan haltuunsa Megan palvelimen ohjauskoodeja.
Megan Chrome-selaimeen tarkoitettu laajennus vaihdettiin lennosta vaaralliseen versioon, raportoi The Hacker News.
Tämä Chrome-laajennuksen versio 3.39.4 on tosi asiassa laajennuksen asemesta aggressiivinen bullet, murtokone. Selainasetuksista riippuen se yrittää asentua turvallisen version päälle, ja siis varastaa käyttäjätunnuksia Microsoftin, Githubin, Googlen Amazonin kaltaisiin palveluihin. Palvelimilta feikkilajennus vei, tai yritti viedä, kryptovaluuttoja.
Megan pääkäyttäjä huomasi tapahtuneen vasta neljä tuntia kyberhyökkäyksen alettua. Dotcom päivitti laajennuksen turvalliseksi laajennusversiolla 3.39.5. Vaarallisen feikkiversion taas saivat ne piraattipalvelun käyttäjät, joilla selaimessa sattui olemaan automaattiset päivitykset päällä. Huomio, ei koskaan näin! Aina kaikki päivityspaketit sisään kyselyn ja oman hyväksynnän kautta, kiitos.
Google noteerasi väärän Mega-laajennuksen Chrome Web Storessa vasta viitisen tuntia murron jälkeen, ja poisti sen jakelusta. Kuinka moinen viritys oli edes tarjolla virallisen statuksen omaavassa sovelluskaupassa?
Internetin ja sen teknologioiden vapautta Dotcomin aatemaailmassa on vaalittu pitkään populistisen kirkasotsaisuuden hengessä. Sen sijaan jenkkiviranomaisten arvioissa elokuvastudiot ja levy-yhtiöt ovat menettäneet Dotcomin ja kolmen muun Megaupload-johtajan takia 550 miljoonaa dollaria rahaa.
Uudessa-Seelannissa tekijänoikeusrikoksia ei lasketa varsinaisiksi rikoksiksi, ja sieltä käsin tiedostojako on voinut jatkua. Mutta nyt Dotcom lupaa haastaa Uuden-Seelannin valtion oikeuteen ja vaatii valtiolta yhteensä 5,5 miljardin euron korvaussummaa. Syy siihen on, että valtio ehti luovuttaa Megauploadin datan Yhdysvaltoihin. Ylempi oikeus perui datan luovutuksen myöhemmin, mutta eihän sitä saatu Jenkeistä takaisin saarivaltioon.
Epilogi: uutta, salaukseltaan 128-bittistä dataa ei voi murtaa. Nyt sitten hyökättiin välillisesti piraattipalvelun käyttäjiä vastaan. Tapahtumilla on näemmä huomioarvoa. BBC, Reuters, Wired ja monet muut lehdet sekä uutistoimistot seuraavat tiiviisti huimissa summissa liikkuvia vaateita ja vastavaateita. Sota syvenee ja peli kovenee.
