WebRTC स्किमर
साइबर सुरक्षा शोधकर्ताओं ने एक उन्नत भुगतान स्किमर की पहचान की है जो वेबआरटीसी डेटाचैनल का उपयोग करके गुप्त रूप से दुर्भावनापूर्ण पेलोड प्राप्त करता है और संवेदनशील डेटा चुराता है। HTTP अनुरोधों या इमेज बीकन पर निर्भर रहने वाले पारंपरिक स्किमर के विपरीत, यह प्रकार पारंपरिक वेब ट्रैफ़िक पैटर्न से बाहर काम करता है, जिससे इसका पता लगाना काफी मुश्किल हो जाता है।
विषयसूची
शोषण का प्रवेश बिंदु: पॉलीशेल भेद्यता
इस हमले का मूल कारण पॉलीशेल नामक एक गंभीर सुरक्षा खामी का दुरुपयोग था, जो मैजेंटो ओपन सोर्स और एडोब कॉमर्स प्लेटफॉर्म को प्रभावित करती है। इस खामी के कारण अनधिकृत हमलावर REST API के माध्यम से मनमानी निष्पादन योग्य फाइलें अपलोड कर सकते हैं, जिससे अंततः पूर्ण रिमोट कोड निष्पादन हो जाता है।
19 मार्च, 2026 से इस भेद्यता का बड़े पैमाने पर सक्रिय रूप से फायदा उठाया जा रहा है। 50 से अधिक आईपी पतों को स्कैनिंग ऑपरेशन करते हुए देखा गया है, और शोधकर्ताओं ने लगभग 56.7% असुरक्षित ऑनलाइन स्टोरों में पॉलीशेल से संबंधित सुरक्षा उल्लंघनों का पता लगाया है।
आक्रमण की कार्यप्रणाली: वेबआरटीसी को एक गुप्त चैनल के रूप में उपयोग करना
स्किमर एक स्व-निष्पादित स्क्रिप्ट के रूप में काम करता है जो असुरक्षित वेबसाइटों में अंतर्निहित होती है। निष्पादन पर, यह यूडीपी पोर्ट 3479 के माध्यम से एक हार्ड-कोडेड आईपी पते (202.181.177.177) से वेबआरटीसी पीयर कनेक्शन शुरू करता है। इस चैनल के माध्यम से, यह अतिरिक्त दुर्भावनापूर्ण जावास्क्रिप्ट प्राप्त करता है, जिसे भुगतान डेटा एकत्र करने के लिए सीधे वेब पेज में इंजेक्ट किया जाता है।
इस तकनीक की प्रमुख विशेषताएं निम्नलिखित हैं:
- पारंपरिक HTTP-आधारित संचार के स्थान पर WebRTC डेटाचैनल का उपयोग
- दुर्भावनापूर्ण स्क्रिप्टों की गतिशील पुनर्प्राप्ति और निष्पादन
- भुगतान संबंधी जानकारी संभालने वाले वेब पेजों में सीधे इंजेक्शन
सुरक्षा से बचना: पारंपरिक सुरक्षा उपायों को दरकिनार करना
यह तकनीक व्यापक रूप से लागू सुरक्षा नियंत्रणों को भेदने की क्षमता के कारण स्किमिंग तकनीकों में एक उल्लेखनीय प्रगति का प्रतिनिधित्व करती है। अनधिकृत आउटबाउंड कनेक्शनों को प्रतिबंधित करने के लिए अक्सर उपयोग की जाने वाली कंटेंट सिक्योरिटी पॉलिसी (सीएसपी) इस खतरे को प्रभावी ढंग से कम नहीं करती है।
यहां तक कि सख्त CSP कॉन्फ़िगरेशन वाले वातावरण भी, जो सभी अनधिकृत HTTP ट्रैफ़िक को ब्लॉक करते हैं, असुरक्षित बने रहते हैं। WebRTC ट्रैफ़िक HTTP के बजाय DTLS-एन्क्रिप्टेड UDP पर संचालित होता है, जिससे यह कई नेटवर्क निगरानी और निरीक्षण उपकरणों के लिए अदृश्य हो जाता है। परिणामस्वरूप, चोरी किया गया भुगतान डेटा पूरी तरह से पकड़ से बच सकता है।
पैच की उपलब्धता और सुरक्षा उपाय
एडोब ने 10 मार्च, 2026 को जारी किए गए संस्करण 2.4.9-बीटा1 में पॉलीशेल भेद्यता को संबोधित किया। शोषण को रोकने के लिए तत्काल पैचिंग अत्यंत महत्वपूर्ण है।
जोखिम को कम करने और संभावित खतरे का पता लगाने के लिए, निम्नलिखित उपायों की पुरजोर सिफारिश की जाती है:
pub/media/custom_options/ निर्देशिका तक पहुंच प्रतिबंधित करें
वेब शेल, बैकडोर और अन्य दुर्भावनापूर्ण तत्वों के लिए पूरी तरह से स्कैन करें।
ई-कॉमर्स सुरक्षा के लिए रणनीतिक निहितार्थ
वेबआरटीसी-आधारित स्किमिंग का उदय अधिक परिष्कृत, प्रोटोकॉल-स्तरीय बचाव तकनीकों की ओर बदलाव को दर्शाता है। ई-कॉमर्स प्लेटफॉर्म संचालित करने वाले संगठनों को एचटीटीपी-केंद्रित निगरानी से परे अपनी रक्षात्मक रणनीतियों का विस्तार करना चाहिए और उभरते खतरों का प्रभावी ढंग से मुकाबला करने के लिए गैर-पारंपरिक संचार चैनलों की गहन जांच को शामिल करना चाहिए।
