বিশ্বজুড়ে সরকারগুলি সতর্ক করার একদিন পরে যে নতুন প্রচারিত সফ্টওয়্যার দুর্বলতাগুলি এতটাই গুরুতর যে ওয়েবসাইটগুলিকে সেগুলি ঠিক না করা পর্যন্ত অফলাইনে যাওয়ার কথা বিবেচনা করা উচিত, বিশেষজ্ঞ এবং অভ্যন্তরীণ ব্যক্তিরা বলেছেন যে খুব কম, যদি থাকে, ব্যাপক ক্ষতির রিপোর্ট রয়েছে৷
এটি এখনও পরিবর্তিত হতে পারে, অবশ্যই, এবং সাইবার নিরাপত্তা বিশেষজ্ঞরা সতর্ক করেছেন যে হুমকিটি সপ্তাহের জন্য থাকবে, যদি আর না হয়। তবুও, বৃহস্পতিবার প্রাথমিক লক্ষণ ছিল যে হ্যাকারদের দুর্বলতাগুলিকে পুঁজি করা কঠিন হচ্ছে।
ব্রিটিশ সফ্টওয়্যার নিরাপত্তা সংস্থা সোফোসের হুমকি গবেষণার ভাইস প্রেসিডেন্ট ডন স্মিথ বলেছেন, “আমাদের সমস্ত টেলিমেট্রি জুড়ে, এবং আমরা কঠোরভাবে তাকাচ্ছি, আমরা কেবলমাত্র কয়েকটি বাস্তব শোষণের প্রচেষ্টা দেখেছি।”
বিশেষজ্ঞরা সম্মত হন যে এটি আংশিকভাবে পর্দার পিছনের, বৈশ্বিক প্রচেষ্টার কারণে ছিল যা ত্রুটিটি চিহ্নিত করেছিল এবং এটিকে সমাধান করার জন্য শান্তভাবে একটি সমাধান ডিজাইন করেছিল।
এই প্রচেষ্টাটি অসাবধানতাবশত, কিছু ব্যাপকভাবে উপলব্ধ AI মডেলের বর্তমান সীমা দ্বারা সহায়তা করা হয়েছিল, যা দুর্বলতাগুলিকে কাজে লাগাতে খুব সহায়ক বলে মনে হয়নি। এবং সম্ভবত, তারা বলেছিল, কিছুটা ভাগ্য।
“আমার ধারণা এই যে [vulnerabilities] লোকেরা প্রথমে ভেবেছিল তার চেয়ে শোষণ করা কঠিন, তাই এটি একটি ধীরগতির পোড়া হতে পারে,” স্মিথ বলেছিলেন।
ত্রুটিগুলি ছিল পিএইচপি, একটি ওয়েবসাইট প্রোগ্রামিং ভাষা যা আনুমানিক 69% সমস্ত ওয়েবসাইটে ব্যবহৃত হয়৷ গবেষকরা আগস্টে শান্তভাবে দুটি বিধ্বংসী সফ্টওয়্যার দুর্বলতা খুঁজে পাওয়ার পরে, তারা বুধবার সকালে বিশ্বে প্রকাশিত প্যাচগুলি বিকাশের জন্য সীমানা এবং শৃঙ্খলা জুড়ে কাজ করেছিল।
এটি একটি অস্বাভাবিক পরিস্থিতির দিকে পরিচালিত করে যেখানে এফবিআই এবং ন্যাশনাল সিকিউরিটি এজেন্সি থেকে শুরু করে ইউরোপীয় সাইবার সিকিউরিটি কর্তৃপক্ষ এবং অস্ট্রেলিয়ান গোয়েন্দা সংস্থা সকলেই সুপারিশ করেছিল যে ওয়েবসাইটগুলি প্যাচগুলি বাস্তবায়ন না করা পর্যন্ত অন্ধকার হয়ে যাবে৷ এবং বিশ্বজুড়ে কয়েক ডজন প্রধান ওয়েবসাইট ঠিক তাই করেছে।
বিশেষজ্ঞরা বলছেন যে প্রচুর প্রমাণ রয়েছে যে হ্যাকাররা লক্ষ্যবস্তুতে আক্রমণ করার জন্য তাদের ব্যবহার করার উপায়গুলির জন্য নিরলসভাবে ত্রুটিগুলি স্ক্যান করছে।
কিন্তু নয়টি শিল্প-নেতৃস্থানীয় সংস্থার গবেষক এবং মুখপাত্র – ক্রাউডস্ট্রাইক, ইএসইটি, গুগল থ্রেট ইন্টেলিজেন্স গ্রুপ, হান্ট্রেস, পালো অল্টো নেটওয়ার্কস, রেকর্ডেড ফিউচার, সিকিউরওয়ার্কস, সোফোস এবং বিটস-এর ট্রেইল – এনবিসি নিউজকে বলেছেন যে বৃহস্পতিবার সন্ধ্যা পর্যন্ত, তারা কোনও সফল আক্রমণ দেখেনি।
পালো অল্টো নেটওয়ার্কস ইউনিট 42-এর হুমকি বুদ্ধিমত্তার ভাইস প্রেসিডেন্ট শেরোড ডিগ্রিপ্পো বলেছেন, “আমরা এখনও এই PHP দুর্বলতাগুলিকে বন্যের মধ্যে শোষিত হতে দেখিনি৷
“আমরা ধারণার শোষণ কোডের প্রমাণের 200 টিরও বেশি উদাহরণ দেখেছি, এবং আমরা সক্রিয়ভাবে সেগুলি সবগুলি তদন্ত করছি,” তিনি বলেছিলেন, এমন প্রোগ্রামগুলির উল্লেখ করে যা দাবি করেছে যে তারা পিএইচপি ত্রুটিগুলিকে কাজে লাগাতে পারে৷ “বর্তমান আছে কি না, সক্রিয় শোষণ কেবল সময়ের ব্যাপার।”
সাইবারসিকিউরিটি রিসার্চ এবং কনসালটিং ফার্ম ট্রেইল অফ বিটসের সিইও ড্যান গুইডো বলেছেন, যদিও দুর্বলতা নিজেই তত্ত্বগতভাবে ধ্বংসাত্মক ছিল, এটি হ্যাক করা প্রযুক্তিগতভাবে খুব কঠিন ছিল।
গুইডো বলেছিলেন যে তার একজন কর্মচারী, একজন 10 বছরের অভিজ্ঞ, একটি উন্নত এআই মডেলের সাথে দুর্বলতাগুলি হ্যাক করতে পুরো দিন লেগেছিল।
অ্যামাজন ওয়েব সার্ভিসেস বলেছে যে এটি হানিপট ব্যবহার করেছে – সাইবার নিরাপত্তা গবেষকরা হ্যাকারদের কৌশল এবং নিরীক্ষণ করার জন্য তৈরি করা নকল ওয়েবসাইটগুলি – প্রমাণ খুঁজে পেতে যে হ্যাকাররা এটি সর্বজনীন হওয়ার অন্তত চার দিন আগে পিএইচপি দুর্বলতাকে কাজে লাগানোর চেষ্টা করছে।
“প্রযুক্তিগত বিশ্লেষণ চলছে, এবং এটি অস্পষ্ট যে এই প্রচেষ্টাগুলির মধ্যে কোনটি বাস্তব-বিশ্বের সিস্টেমে সফল হবে কিনা,” কোম্পানিটি একটি ব্লগ পোস্টে বলেছে৷
ইন্টারনেটের অন্যতম জনপ্রিয় হোস্টিং কোম্পানি ক্লাউডফ্লেয়ারের সিইও ম্যাথু প্রিন্স বলেছেন যে কোম্পানিটি কয়েক মাস ধরে আলোচনায় ছিল কিভাবে ত্রুটিটি সমাধান করা যায় এবং তার গ্রাহকদের কেউ প্রভাবিত হয়নি।
“এখানে ভীতিকর বিষয় হল যে কিছু খুব শান্তভাবে আপস করা যেতে পারে,” তিনি বলেছিলেন। “সার্ভারের সাথে আপস করা হয়েছে এমন কোনো পাবলিক প্রমাণ নাও থাকতে পারে এবং হ্যাকার সেখানে হ্যাং আউট হতে পারে।”
যেকোন হ্যাকিং পরিস্থিতিতে সুপ্ত অনুপ্রবেশকারীরা সবসময়ই একটি সম্ভাব্য হুমকি, ট্রেল অফ বিটসের গুইডো বলেছেন যে এটি মনে রাখা গুরুত্বপূর্ণ যে এটি একটি পরিশীলিত ওয়েব সম্পত্তি হ্যাক করার জন্য শুধুমাত্র একটি পরীক্ষামূলক কোড এবং সামান্য ভাগ্যের চেয়ে বেশি কিছু লাগে।
এটি বিশেষ করে হ্যাকারদের জন্য সত্য যারা ওপেন-ওয়েট AI মডেলের উপর নির্ভর করে – যেগুলিকে তারা তাদের ক্রিয়াকলাপে সহায়তা করার জন্য তাদের সাথে টিঙ্কার করতে পারে এবং রেললাইনগুলি সরিয়ে দিতে পারে।
এই মডেলগুলি ফ্রন্ট-লাইন সাইবারসিকিউরিটি গবেষকদের কাছে উপলব্ধগুলির মতো শক্তিশালী নয় – এবং তারা সাধারণত পিএইচপি ত্রুটিগুলির মতো জটিল দুর্বলতার সাথে লড়াই করে।
“অনেক লোক শোষণের সাথে ধারণার প্রমাণকে বিভ্রান্ত করছে,” তিনি বলেছিলেন। দেখা যাচ্ছে যে লেখালেখির জন্য এখনও দক্ষতার প্রয়োজন। আপনি কেবল এটি জাল করতে পারবেন না।
