मुफ़्त इंटरैक्टिव डेमो
क्लिपबोर्ड मैलवेयर आपके वॉलेट को हैक नहीं करता। वह आपकी पेस्ट को बदल देता है। नीचे दिया काल्पनिक पता कॉपी करें, साफ़-साफ़ लेबल किया गया अटैक स्विच चालू करें, पेस्ट करें, और देखें कि यह अदला-बदली खुद आपके साथ हो रही है। इसे एक बार महसूस करना, इसके बारे में दस बार पढ़ने से बेहतर है।
केवल काल्पनिक पते। आपका क्लिपबोर्ड सिर्फ़ आपकी अपनी कॉपी और पेस्ट से ही छुआ जाता है।
मान लीजिए किसी दोस्त ने अभी-अभी आपको भुगतान के लिए यह पता भेजा है। यह काल्पनिक है और जानबूझकर अमान्य है, लेकिन आपका क्लिपबोर्ड इसे किसी भी दूसरे टेक्स्ट जैसा ही मानता है। बात यही है।
bc1qdemox7k4fyn2vw9plt8u3sa6hqe5cg0notrealबंद: कॉपी ईमानदार है और आपके सामने जो है ठीक वही क्लिपबोर्ड पर रखता है
यह भेजने वाला फ़ॉर्म बस एक नमूना है। यह बटन कभी कुछ नहीं भेजता, किसी को नहीं, कभी नहीं। अभी-अभी कॉपी किया पता पेस्ट करें और “भेजें” से पहले उसे ध्यान से देखें।
जो आपने देखा (और सोचा कि यही कॉपी किया)
जो आपके क्लिपबोर्ड ने असल में दिया
पहले 8 और आख़िरी 8 अक्षर एक जैसे हैं। हमलावर वैनिटी पते इसलिए बनाते हैं कि सिरे मिल जाएँ, क्योंकि ज़्यादातर लोग बस सिरे ही जाँचते हैं।
इस डेमो में अदला-बदली दोनों सिरों पर एक नज़र डालने से बच निकली। यहाँ बताया है कि यह किससे नहीं बच पाती:
दो या तीन नहीं। हर सिरे पर एक अच्छी-ख़ासी लंबाई (आठ या उससे अधिक) की तुलना करें, और बीच का हिस्सा भी बीच-बीच में जाँचें। ज़हर घोलने वाली किट सस्ते में छोटे सिरे मिला लेती हैं। आप जितने अतिरिक्त अक्षर जाँचते हैं, उनकी लागत उतनी ही गुना बढ़ जाती है। इसे याददाश्त से नहीं, प्राप्तकर्ता की स्क्रीन से पढ़ें।
किसी भी ऐसे लेन-देन के लिए जिसमें नुकसान होने पर चोट पहुँचे, पहले बहुत छोटी राशि भेजें। प्राप्तकर्ता के साथ, किसी अलग माध्यम से, पुष्टि करें कि वह पहुँच गई। बदला हुआ पता वह छोटी परीक्षण राशि चुराता है, पूरी रकम नहीं। तभी असली राशि भेजें, उसी पते पर जिसे परीक्षण ने सही साबित किया।
हार्डवेयर वॉलेट असली गंतव्य अपनी ही स्क्रीन पर दिखाता है, जो मैलवेयर की पहुँच से बाहर है। अगर डिवाइस की स्क्रीन पर दिख रहा पता उससे मेल नहीं खाता जिसे आप भुगतान करना चाहते थे, तो कंप्यूटर आपसे झूठ बोल रहा है। वह स्क्रीन ठीक इसी हमले के लिए मौजूद है।
कुछ ही अक्षर जाँचना क्यों नाकाम रहता है: ऐसा पता बनाना जिसके पहले और आख़िरी कुछ अक्षर किसी लक्ष्य से मेल खाएँ, बस ब्रूट फ़ोर्स है। यह हर सिरे पर 3 अक्षर तक सस्ता है, 8 पर महँगा, और बीच का हिस्सा कभी मेल नहीं खाता। डेमो का मिलता-जुलता पता जानबूझकर 8 + 8 पर मेल खाता है।
जो मैलवेयर आपके क्लिपबोर्ड को फिर से लिखता है, वह उसी मशीन पर चलता है जहाँ लोग नोट्स ऐप में सीड फ़्रेज़, टेक्स्ट फ़ाइलों में निजी कुंजियाँ, और स्क्रीनशॉट में 2FA बैकअप कोड रखते हैं। क्लिपबोर्ड पर नज़र रखने वाला सिर्फ़ पते नहीं बदलता। वह उसमें से गुज़रने वाली हर चीज़ को खंगालता है, कुंजी जैसी दिखने वाली किसी भी चीज़ की तलाश में। संक्रमित मशीन पर बिना-एन्क्रिप्ट किया टेक्स्ट पहले ही जा चुका होता है। पते की अदला-बदली तो बस वह संस्करण है जिसे आप घटित होते हुए देख पाते हैं। यही वजह है कि कुंजियाँ और कोड अपने डिवाइस पर एक एन्क्रिप्टेड वॉल्ट में रखें, और किसी असली सीड फ़्रेज़ को कभी क्लिपबोर्ड तक पहुँचने ही न दें।
दोनों डेमो स्ट्रिंग काल्पनिक हैं और साथ ही प्रमाणित रूप से अमान्य। इनमें अक्षर “o” है, उन चार अक्षरों (1, b, i, o) में से एक जिन्हें bc1 पता प्रारूप जानबूझकर बाहर रखता है ताकि पढ़ने में गड़बड़ी न हो। इसलिए कोई वॉलेट इन्हें स्वीकार नहीं करेगा, और ये किसी के धन से टकरा नहीं सकते। असली क्लिपबोर्ड मैलवेयर आपके क्लिपबोर्ड को लगातार देखता और फिर से लिखता रहता है, पृष्ठभूमि में, हमेशा के लिए। यह डेमो अदला-बदली सिर्फ़ उसी क्षण करता है जब आप अटैक स्विच को साफ़ तौर पर चालू रखकर कॉपी दबाते हैं। यह पेज कभी किसी क्लिपबोर्ड-पढ़ने वाले API को नहीं बुलाता। उसे जो एकमात्र टेक्स्ट कभी दिखता है वह वही है जो आप उसके इकलौते ख़ाने में पेस्ट करते हैं, और उसकी तुलना दोनों डेमो स्ट्रिंग से स्थानीय रूप से करके उसे हटा दिया जाता है। कुछ भी संग्रहित नहीं होता, कुछ भी भेजा नहीं जाता, और पेज दोबारा लोड करने पर सब कुछ रीसेट हो जाता है।
Sealby कोड और उनसे जुड़े रिकॉर्ड लॉक की गई तिजोरी में एन्क्रिप्ट करता है। लेकिन क्लिपबोर्ड या किसी दूसरे ऐप में कॉपी किए गए टेक्स्ट की निजता की गारंटी एन्क्रिप्शन नहीं देता। वॉलेट के लिए Sealby में उनकी सूची और ऑफ़लाइन बैकअप तक पहुँचने का तरीका रखें; असली सीड फ़्रेज़ के शब्द ऑफ़लाइन ही रखें।
iPhone और iPad · iOS 17+ · मुफ़्त