Ανακαλύψτε πώς ο αντίπαλός του στο Twitter/X, Mastodon, έγινε θύμα επίθεσης ανεπιθύμητης αλληλογραφίας – Τα διαφορετικά τρωτά σημεία αποκαλύπτονται!

Μια επίθεση ανεπιθύμητης αλληλογραφίας που επηρέασε τον ανταγωνιστή ανοιχτού κώδικα X Mastodon, Misskey και άλλες εφαρμογές υπογραμμίζει πώς ο αποκεντρωμένος κοινωνικός ιστός, γνωστός και ως fediverse, είναι ανοιχτός σε κατάχρηση. Τις τελευταίες ημέρες, οι εισβολείς έχουν στοχεύσει μικρότερους διακομιστές Mastodon, εκμεταλλευόμενοι τις ανοιχτές εγγραφές για την αυτοματοποίηση της δημιουργίας λογαριασμών ανεπιθύμητης αλληλογραφίας. Ο ιδρυτής και διευθύνων σύμβουλος της Mastodon, Eugen Rochko

επιβεβαίωσε την επίθεση με ανάρτησή του

το Σαββατοκύριακο, προσθέτοντας ότι οι διαχειριστές διακομιστή Mastodon θα πρέπει να αλλάξουν την εγγραφή σε λειτουργία έγκρισης και να αποκλείσουν τους παρόχους email απόρριψης για να βοηθήσουν στην αντιμετώπιση του προβλήματος.

Αν και αυτή δεν είναι η πρώτη επίθεση ανεπιθύμητης αλληλογραφίας που έχει επηρεάσει το Fediverse, ο Rochko σημειώνει ότι μόνο μεγαλύτεροι διακομιστές όπως

Mastodon.κοινωνική

είχαν στοχοποιηθεί στο παρελθόν. Καθώς αυτός ο διακομιστής διευθύνεται από την ίδια την ομάδα του Mastodon, μπόρεσαν οι ίδιοι να μετριάσουν αυτές τις επιθέσεις. Αυτό που είναι διαφορετικό αυτή τη φορά είναι ότι οι αποστολείς ανεπιθύμητης αλληλογραφίας στόχευσαν τους μικρότερους και ακόμη και εγκαταλειμμένους διακομιστές που προσφέρουν ανοιχτή εγγραφή, επιτρέποντας στους κακούς παράγοντες να δημιουργούν γρήγορα λογαριασμούς και να δημιουργούν ανεπιθύμητα μηνύματα.

Αυτή η συγκεκριμένη επίθεση, η οποία ήταν πλήρως αυτοματοποιημένη όταν οι εισβολείς έμαθαν ότι μπορούσαν να γράψουν ανεπιθύμητα μηνύματα, ήταν

που προκλήθηκε από μια διαμάχη

μεταξύ δύο πλευρών στο

Discord

, όπου η μία πλευρά προσπαθούσε να απαγορεύσει τον διακομιστή Discord της άλλης πλευράς, σύμφωνα με αναφορές στο Mastodon. (Περισσότερες λεπτομέρειες

σε αυτό εδώ

.)

Πολλοί από τους άλλους στόχους των spammers

δεν ήταν μόνος ο Mastodon — στόχευαν επίσης

Μίσκι

. (Το Misskey είναι μια ανοιχτού κώδικα, αποκεντρωμένη πλατφόρμα blogging που χρησιμοποιεί το πρωτόκολλο ActivityPub, όπως το Mastodon, το Pixelfed, το PeerTube και άλλα, επιτρέποντας στους χρήστες του να αλληλεπιδρούν με εκείνους σε άλλες ομοσπονδιακές πλατφόρμες κοινωνικής δικτύωσης.) Ως η προέλευση του ανεπιθύμητου

φαίνεται να είναι ιαπωνικό φόρουμ

πολλοί από τους στόχους ήταν επίσης στην Ιαπωνία.

Η επίθεση ανεπιθύμητης αλληλογραφίας τόνισε μια από τις αδυναμίες που συνοδεύει τη δομή του fediverse. Το Mastodon είναι λογισμικό ανοιχτού κώδικα που μπορεί να εγκαταστήσει ο καθένας στον δικό του διακομιστή, ουσιαστικά καθιερώνοντας το δικό του παράδειγμα ή κόμβο, που συνδέεται με άλλους ομοσπονδιακούς διακομιστές κοινωνικής δικτύωσης, που υποστηρίζονται από το πρωτόκολλο ActivityPub.

Επειδή οι μικρότεροι διακομιστές του Mastodon είναι συχνά έργα χομπίστας που εκτελούνται από ενθουσιώδεις, ήταν ευάλωτοι σε αυτού του είδους τις επιθέσεις. Εάν οι διαχειριστές του διακομιστή δεν έδιναν προσοχή στους διακομιστές τους σε καθημερινή βάση και είχαν προσφέρει ανοιχτές εγγραφές, πιθανότατα θα ήταν θύματα του ανεπιθύμητου περιεχομένου.

Ή ως ένας διαχειριστής διακομιστή,

@

[email protected]


παρατήρησε, «Ορισμένοι διαχειριστές περιπτώσεων υπενθύμισαν ότι είχαν ένα παράδειγμα.

Και

μάθαμε επίσης ότι υπάρχουν ΠΟΛΛΕΣ εγκαταλελειμμένες περιπτώσεις εκεί έξω με την πόρτα τους ορθάνοιχτη για εγγραφή χωρίς έγκριση.”

Τις τελευταίες μέρες, ο διακομιστής

διαχειριστές


συνεργάστηκαν

προς την

δημιουργήστε συνεχείς λίστες

εγκαταλελειμμένων περιπτώσεων που άλλοι διαχειριστές θα μπορούσαν να χρησιμοποιήσουν ως βάση για μια λίστα αποκλεισμού για την προστασία των δικών τους χρηστών από τις επιθέσεις ανεπιθύμητης αλληλογραφίας. Πολλοί διακομιστές απλώς απενεργοποιήθηκαν καθώς οι διαχειριστές τους αποφάσισαν ότι θα ήταν πιο εύκολο να περιμένουν την επίθεση ή να εγκαταλείψουν εντελώς το Mastodon.

Η δημοφιλής εφαρμογή τρίτων Mastodon Ivory, από την Tapbots,

κυκλοφόρησε μια έκτακτη ενημέρωση

που περιελάμβανε ένα προσαρμοσμένο φίλτρο με την ονομασία “Πιθανό ανεπιθύμητο”, στην καρτέλα “Φίλτρο” που θα επέτρεπε στους χρήστες να κάνουν σίγαση των αναφορών ανεπιθύμητης αλληλογραφίας. Οι επηρεαζόμενοι χρήστες θα μπορούσαν να ενεργοποιήσουν αυτό το φίλτρο για να συλλάβουν το μεγαλύτερο μέρος των ανεπιθύμητων μηνυμάτων, αλλά δεν μπορούσαν να σταματήσουν τις ειδοποιήσεις push spam, είπε η εταιρεία.

Η επίθεση φαίνεται να τελειώνει από σήμερα το πρωί. Τεχνολόγος και ερευνητής Tim Chambers (

@

[email protected]


) σημείωσε ότι σήμερα ήταν η πρώτη μέρα σε τέσσερις ημέρες που είχε λιγότερους από 40 λογαριασμούς ανεπιθύμητης αλληλογραφίας για αναστολή στον διακομιστή που διαχειρίζεται, για παράδειγμα. Η Mastodon λέει στο TechCrunch ότι σε ενεργούς διακομιστές με μια αντιδραστική ομάδα εποπτείας, το Mastodon διαθέτει πολλά εργαλεία για την αποτροπή της αυτοματοποιημένης εγγραφής λογαριασμού, συμπεριλαμβανομένης της λειτουργίας έγκρισης, των CAPTCHA και διαφόρων εργαλείων αποκλεισμού, επομένως ο εισβολέας αντιμετωπίζεται πολύ γρήγορα. Σημείωσε επίσης ότι η επίθεση με ανεπιθύμητη αλληλογραφία ολοκληρώθηκε καθώς οι δύο ομάδες χάκερ προφανώς έκαναν ειρήνη.

Ενώ κάποιοι είδαν την εμπειρία ως θετική για το κοινωνικό δίκτυο και την ευρύτερη ομοσπονδία, καθώς αποκάλυψε μια αδυναμία που μπορούσε τώρα να συζητηθεί και να αντιμετωπιστεί, άλλοι ήταν θυμωμένοι για την εμπειρία και την έλλειψη ανταπόκρισης του Rochko τις πρώτες ώρες της επίθεσης.

«Αυτό καταστρέφει την εμπειρία μου στο Mastodon για μένα. Με κάνει να θέλω να φύγω και να τα παρατήσω», έγραψε ένας διαχειριστής διακομιστή Mastodon


[email protected]

.

«Και η συνεχιζόμενη σιωπή του Eugen για το πρόβλημα δεν βοηθά σε αυτό», είπαν.

Ο CTO της Mastodon, Renaud Chaput, είπε ότι η επίθεση θα ωθήσει την εταιρεία να βελτιώσει το λογισμικό της.

«Προς το παρόν, δεν υπάρχουν καλά ενσωματωμένα εργαλεία για να το χειριστείτε αυτό, καθώς αυτό είναι ένα περίπλοκο ζήτημα — τα ομοσπονδιακά δίκτυα δεν είναι εύκολα! — αλλά έχουμε πολλές ιδέες για το πώς να βελτιώσουμε τις δυνατότητες καταπολέμησης ανεπιθύμητης αλληλογραφίας και κατάχρησης», είπε. «Αυτά θα εργαστούν τους επόμενους μήνες.

Εργα

ζόμαστε πάντα για τη βελτίωση του λογισμικού (η τελευταία έκδοση εισήγαγε την προαιρετική υποστήριξη captcha). Ένα άλλο μέτρο που λάβαμε σήμερα είναι η αλλαγή της ρύθμισης για νέες παρουσίες, ώστε να μην είναι ευρέως ανοιχτές από προεπιλογή, και προσθέσαμε ένα banner για να υπενθυμίσουμε στους διαχειριστές ότι οι πλήρως ανοιχτές παρουσίες πρέπει να εποπτεύονται ενεργά, επομένως αυτό πρέπει να είναι μια προσεκτική απόφαση από τον διαχειριστή », πρόσθεσε ο Chaput.

Από την άφιξη του Instagram Threads, ενός άλλου ανταγωνιστή του Twitter/X που σχεδιάζει επίσης να συνενωθεί χρησιμοποιώντας το ActivityPub, η χρήση του Mastodon έχει πέσει.

Τον Οκτώβριο του περασμένου έτους, το Mastodon είχε αυξηθεί για να συμπεριλάβει περίπου 1,8 εκατομμύρια μηνιαίους ενεργούς χρήστες. Μέχρι τη στιγμή που το Threads κυκλοφόρησε δημόσια, είχε πέσει στο 1,5 εκατομμύριο. Από τη δημόσια κυκλοφορία αυτού του μήνα του

Bluesky

, ενός άλλου αποκεντρωμένου κοινωνικού δικτύου που βασίζεται σε διαφορετικό πρωτόκολλο (που σημαίνει ότι δεν είναι μέρος του ίδιου fediverse, τουλάχιστον μέχρι να κατασκευαστεί μια γέφυρα), η χρήση του Mastodon είχε

έπεσε

σε 1 εκατομμύριο μηνιαίους ενεργούς χρήστες.

Εκεί παραμένει η χρήση του Mastodon σήμερα, σύμφωνα με την αρχική σελίδα της εταιρείας. Το ευρύτερο fediverse, το οποίο περιλαμβάνει το Mastodon και άλλες εφαρμογές, έχει γύρω

2,9 εκατομμύρια μηνιαίως ενεργοί χρήστες

. Η είσοδος των νημάτων σε αυτό το διάστημα θα επισκιάσει άλλους διακομιστές Mastodon και θα μπορούσε να προσφέρει την

τεχν

ική τεχνογνωσία της Meta σε τομείς όπως η πρόληψη ανεπιθύμητων μηνυμάτων, αλλά πολλοί ανησυχούν ότι ο απώτερος στόχος της Meta θα είναι ουσιαστικά να καταλάβει το fediverse καθιστώντας τον προεπιλεγμένο πελάτη που επιλέγουν οι χρήστες και χρησιμοποιώντας το σημαντικούς πόρους για την κλιμάκωση της υιοθέτησης της εφαρμογής της Meta.

Ενημερώθηκε 20/2/24, 1:31 μ.μ. ET για προσθήκη σχολίου Mastodon CTO