كشف یك طرح جدید فوروارد كردن كوكی

این طرح می­تواند اقدام به فوروارد كردن كوكی­های نشست­های سرقت شده به سیستم­های زامبی در بت نت­ها نماید كه می­توان از آنها برای دسترسی غیرمجاز به وب سایت­ها استفاده نمود.

محققان مایكروسافت كه در حال بررسی موضوع شناسایی كاربران با استفاده از تحلیل داده های جمع آوری شده از لاگ وب بودند، به طور اتفاقی یك طرح فوروارد كردن كوكی را كشف كردند كه می­تواند برای كمك به سرقت نشست مورد استفاده قرار گیرد.
در صورتی­كه این طرح به كار گرفته شود، می­تواند به طور غیرمجاز اقدام به فوروارد كردن كوكی­های نشست­های سرقت شده به سیستم­های زامبی منفرد در بت نت­ها نماید كه می­توان از آنها برای دسترسی غیرمجاز به وب سایت­ها استفاده نمود.

این محققان با استفاده از داده هایی درباره صدها میلیون دستگاه كه در آگوست 2010 به هاتمیل متصل شده اند، درصد قابل توجهی را كشف كرده اند كه از بیش از یك سیستم مستقل اینترنتی متصل شده اند- یك مجموعه بزرگ از آدرس­های IP مرتبط كه معمولا تحت كنترل یك سازمان بزرگ مانند یك ارائه دهنده سرویس، شركت یا دانشگاه هستند.
با ردیابی كوكی­هایی كه هاتمیل برای این دستگاه­ها فرستاده است، محققان نتیجه گرفته اند كه اغلب آنها معتبر بوده و با توجه به تغییر موقعیت آدرس IP آنها، احتمالا موبایل هستند یا اینكه از VPN استفاده می­كنند.
اما این محققان یك گروه كوچك از كوكی­ها نیز كشف كرده اند كه رفتار غیرعادی از خود بروز می­دهند. برای مثال یك آدرس IP منفرد در دانمارك به تعداد زیادی از حساب­های هاتمیل لاگین می­كرد. آنگاه كوكی­های هاتمیل­ كه به این كاربران ارسال شده بودند برای دسترسی به آدرس­های IP در چندین سیستم مستقل در ایالات متحده مجددا مورد استفاده قرار می­گرفتند كه مشخصا از طریق یك كانال پنهان برای آن آدرس­های IP ارسال می­شدند.
حساب­های هاتمیل كه به آنها لاگین شده بود همگی در یك روز ایجاد شده بودند و سن كاربر، داده های موقعیت مكانی و مدل­های نامگذاری در آنها یكسان بود. محققان نتیجه گیری كرده اند كه این حساب­ها، حساب­های كاربری روبات هستند.
آنها دو توضیح احتمالی برای این فعالیت­ها دارند. نخست اینكه برخی ارائه دهندگان سرویس ایمیل در صورتی یك حساب را به عنوان حساب مشكوك علامت گذاری می­كنند كه در یك بازه زمانی كوتاه، از موقعیت­های جغرافیایی مختلفی به آن لاگین شده باشد. این نوع فعالیت می­تواند این ترفند را گیر بیندازد. منتشر كردن كوكی­ها می­تواند به مهاجمان اجازه دهد كه بدون اینكه به طور واضح لاگین نمایند، به حساب­ها دسترسی پیدا كنند، در نتیجه احتمال تشخیص آن پایین می آید.
دوم اینكه ممكن است مهاجمان از حساب­های روباتی و فوروارد كوكی برای این استفاده نمایند كه تخمین بزنند تا چه اندازه می­توانند به حساب­ها دسترسی پیدا كنند تا برای استفاده از این روش علیه كاربران واقعی و حساب­های واقعی، آمادگی پیدا نمایند.
این محققان می­گویند كه تحلیل مدل­های حركتی با استفاده از داده های بی­نام جمع آوری شده از ارائه دهندگان سرویس می­تواند یك روش ارزشمند برای تشخیص این نوع حملات باشد.