- كشفت دراسة جديدة أن الباحثين كشفوا عن ثغرة أمنية محتملة في سماعات الرأس VR الخاصة بشركة Meta.
- يسمح ما يسمى بـ “الهجوم الأولي” للمهاجم بالتجسس على بيئة الواقع الافتراضي للمستخدم والتحكم فيها.
- فقط ثلث المشاركين في الدراسة لاحظوا الخلل عندما تم اختراق جلستهم.
كشف الباحثون عن ثغرة أمنية كبيرة محتملة في سماعات الواقع الافتراضي لشركة Meta، وفقًا لدراسة جديدة.
قال فريق من الباحثين من جامعة شيكاغو إنهم اكتشفوا طريقة لاختراق سماعات الرأس Meta Quest دون علم المستخدم، مما يسمح لهم بالتحكم في بيئة الواقع الافتراضي للمستخدم، وسرقة المعلومات، وحتى معالجة التفاعلات بين المستخدمين.
أطلق الباحثون على هذه الإستراتيجية اسم “الهجوم الأولي”، الذي عرفوه على أنه “هجوم يتحكم فيه المهاجم ويتلاعب بتفاعل المستخدم مع بيئة الواقع الافتراضي الخاصة به، من خلال محاصرة المستخدم داخل تطبيق واقع افتراضي ضار واحد يتنكر في هيئة نظام الواقع الافتراضي الكامل. “
وتأتي هذه الدراسة في الوقت الذي يواصل فيه الرئيس التنفيذي لشركة Meta Mark Zuckerberg التخلص من Apple Vision Pro، وهو أكبر منافس له في هذا المجال. وفي الأسبوع الماضي، قال زوكربيرج إن سماعة الواقع الافتراضي التي تنتجها شركة آبل كانت “أسوأ في معظم النواحي”.
ولم تخضع الدراسة، التي نشرتها مجلة MIT Technology Review لأول مرة، لمراجعة النظراء بعد.
ومن أجل تنفيذ الهجوم، كان على المتسللين أن يكونوا متصلين بنفس شبكة WiFi التي يتصل بها مستخدم Quest، وفقًا للدراسة. يجب أن تكون سماعة الرأس أيضًا في وضع المطور، وهو ما قال الباحثون إن العديد من مستخدمي Meta Quest يبقونه ممكّنًا للحصول على تطبيقات الطرف الثالث، وضبط الدقة، والتقاط لقطات الشاشة.
ومن هناك، تمكن الباحثون من زرع برامج ضارة على سماعات الرأس، مما سمح لهم بتثبيت شاشة رئيسية زائفة تبدو مطابقة للشاشة الأصلية للمستخدم، ولكن يمكن للباحثين التحكم فيها.
هذه الشاشة الرئيسية المكررة هي في الأساس محاكاة داخل محاكاة.
وكتب الباحثون في الدراسة: “بينما يعتقد المستخدم أنه يتفاعل بشكل طبيعي مع تطبيقات الواقع الافتراضي المختلفة، فإنه في الواقع يتفاعل داخل عالم محاكاة، حيث يتم اعتراض كل ما يرونه ويسمعونه، ونقله، وربما تغييره من قبل المهاجم”. .
أنشأ الباحثون إصدارات مستنسخة من تطبيق Meta Quest Browser وتطبيق VRChat. بمجرد تشغيل النسخة المتماثلة من تطبيق المتصفح، تمكن الباحثون من التجسس على المستخدمين أثناء تسجيل دخولهم إلى حسابات حساسة، مثل البنك أو البريد الإلكتروني الخاص بهم.
لقد كانوا قادرين ليس فقط على رؤية ما كان يفعله المستخدم، ولكن أيضًا التعامل مع ما كان يراه المستخدم.
على سبيل المثال، وصف الباحثون موقفًا يقوم فيه المستخدم بتحويل الأموال. بينما يحاول المستخدم تحويل دولار واحد إلى شخص ما، يستطيع المهاجم تغيير المبلغ إلى 5 دولارات على الواجهة الخلفية. وفي الوقت نفسه، لا يزال يظهر كـ $1 للمستخدم، بما في ذلك على شاشة التأكيد، لذلك لا يكون المستخدم على علم بما حدث.
ولاختبار عملية الهجوم الأولية مع أشخاص حقيقيين، طلب الباحثون من 27 مشاركًا في الدراسة التفاعل مع سماعات رأس الواقع الافتراضي أثناء تنفيذ الهجوم. وقالت الدراسة إن ثلث المستخدمين فقط لاحظوا الخلل عندما تم اختراق جلستهم، وأرجع جميع المستخدمين، باستثناء مستخدم واحد، الأمر إلى مشكلة أداء عادية.
لم تستجب ميتا على الفور لطلب التعليق من Business Insider، لكن متحدث باسم MIT Technology Review قال إنهم سيراجعون الدراسة، مضيفًا: “نحن نعمل باستمرار مع الباحثين الأكاديميين كجزء من برنامج مكافآت الأخطاء لدينا والمبادرات الأخرى”.
