IPIment ، Firewall ، NGFirewall-UTM، آیپی ایمن، فایروال ایرانی ، فایروال بومی، یوتی ام بومی، یوتی ام ایرانی، فایروال نسل بعدی ایرانی، فایروال نسل بعدی بومی

روترهای خانگی

کلمات رایج امنیت شبکه و فناوری اطلاعات IPImen - تاکیان

با نفوذ هکرها به مسیریاب های خانگی بیش از ۱.۷ میلیون سیستم در خطرند

سایت اکامای در وبلاگ خود اعلام کرد که پژوهشگران Akamai یک بدافزار پیشرفته را شناسایی کرده‌اند که می‌تواند پیکربندی‌های روترهای خانگی و دفاتر کوچک (SOHO) را ویرایش کند تا اتصالات شبکه‌های داخلی و کامپیوتر های شبکه را آلوده کند. takian.ir Router attack exploits UPnP malware to target PCs

در این نفوذ سایبری، هکرها از تکنیکی با نام UPnProxy استفاده کرده‌اند که مبتنی بر سوءاستفاده از آسیب‌پذیری‌های موجود در سرویس‌های UPnP است و روی برخی مسیریاب‌ها نصب شده‌اند تا جدول‌های NAT دستگاه را ویرایش کنند.

در ماه آوریل، هکرها از این تکنیک برای تبدیل مسیریاب‌ها به پراکسی‌هایی برای ترافیک عادی وب استفاده کردند. اما در گزارشی که Akamai منتشر کرده، نوع جدیدی از UPnProxy شناسایی شده که هکرها توسط آن سرویس‌های UPnP را به کار برده‌اند تا قوانین ویژه‌ای به جدول‌های NAT مسیریاب‌ها اضافه کنند. این قوانین همچنان به عنوان پراکسی کار می‌کنند، اما به هکرها اجازه می‌دهند تا به پورت‌های (۴۴۵ و ۱۳۹) SMB و دستگاه‌ها و رایانه‌های موجود در شبکه داخلی آن متصل شوند.

کارشناسان Akamai اعلام کرده‌اند که هم اکنون ۳.۵ میلیون دستگاه آسیب‌پذیر وجود دارند که حدود ۲۷۷۰۰۰ مسیریاب دارای سرویس‌های UPnP آسیب‌پذیر هستند. اسکن‌های Akamai نشان می‌دهد که به حداقل ۴۵ هزار مسیریاب نفوذ شده است. نفوذ به این مسیریاب‌ها، در مجموع ۱.۷ میلیون سیستم منحصر به فرد را در معرض خطر قرار می‌دهد.

پژوهشگران مشاهده کرده‌اند که هکرها یک ورودی NAT با نام galleta silenciosa (به معنی silent cookie/cracker در زبان اسپانیایی)  در این ۴۵ هزار مسیریاب ایجاد کرده‌اند.

به نظر می‌رسد که مهاجمان از آسیب‌پذیری‌های (EternalBlue (CVE-۲۰۱۷-۰۱۴۴ که از آژانس امنیت ملی امریکا (NSA) به سرقت رفته و (EternalRed (CVE-۲۰۱۷-۷۴۹۴ که نسخه‌ای از EternalBlue است و از طریق Samba که سیستم‌های لینوکسی را آلوده می‌کند، استفاده کرده‌اند.

Akamai این عملیات سایبری را EternalSilence نام گذاری کرده است.

Akamai توصیه کرده که برای بازیابی و جلوگیری از این حملات، صاحبان دستگاه‌ها مسیریاب جدیدی تهیه کنند که دارای آسیب‌پذیری UPnP نباشند، یا در صورت آسیب‌پذیر بودن UPnP در دستگاه خود، آن‌را غیرفعال کنند.

غیرفعال کردن UPnP ورودی‌های تزریق شده بهNAT را پاک نمی‌کند، در نتیجه صاحبان مسیریاب‌ها باید آن‌را راه‌اندازی مجدد کنند یا آن‌را به تنظیمات کارخانه بازگردانند و سپس UPnP را بطور کامل غیرفعال کنند. همچنین به‌روزرسانی به آخرین نسخه Firmware نیز توصیه می‌شود.

احتمال آلوده شدن سیستم‌های متصل به مسیریاب‌های آسیب‌پذیر نیز وجود دارد و باید ترافیک غیرمجاز در LAN سیستم‌های لینوکسی و ویندوزی که احتمالا با EternalBlue یا EternalRed آلوده شده‌اند، بررسی شود.

سوء استفاده هکرها از روترهای لبه شبکه

اخبار و گزارش های جدید سایت ها  تحلیلی و پایگاه های خبری حاکی از آن هست که در سال 2018 سوء استفاده از Takian.ir hacking routerروتر های شبکه افزایش یافته است و از روتر های شبکه ها به عنوان یکی از ابزار های اصلی در چرخه حمله  استفاده شده است. از نمونه  های بسیار مهم می توان به حملات گروه هکری  Slingshot APT  اشاره کرد که از  روتر های میکروتیک برای آلوده کردن هاست ها در زیر ساخت سایبری داعش استفاده کرد. البته اینکه آیا از این آسیب پذیری برای کشور های دیگر از جمله ایران استفاده نکرده باشد هنوز مشخص نشده است. نمونه دیگر استفاده Inception Framework APT از روتر های خانگی برای ایجاد شبکه ای از Proxy های تو در تو هست که می توانند خود را پشت آنها پنهان کنند. از نمونه های قدیمی تر می توان به حمله به روتر های سیسکو توسط SYNful Knock اشاره کرد که توسط Fireeye شناسایی شد.  آخرین مثال هم استفاده گروه LuckyMouse APT از روتر ها به عنوان C&C های خود بوده است. 

البته  ما همه می دانیم که این ها مثال های کشف شده از سوء استفاده از تجهیزات روتر می باشد و ممکن است، شاید بهتر است بگوییم به احتمال زیاد، راه کار هایی متعدد کشف یا شناخته نشده ای توسط نفوذگران استفاده می شوند که می توانند ریسک های امنیتی متعددی را برای ما ایجاد کنند.

با توجه به آنچه گفته شد نکات زیر در این مورد قابل توجه است :

  • همواره از آخرین آسیب پذیری های مربوط به تجهیزات خود مطلع باشید و در صورت مشاهده یک آسیب پذیری با درجه اهمیت Critical یا High نسبت استفاده از Workaround اعلام شده اقدام کنید. در صورت نشر سیستم عامل یا Firmware تجهیز نیز در حداقل زمان اقدام کرده و بروز رسانی کنید. حمله به Smart Install شرکت سیسکو در فاصله کمتر از 10 روز نمونه بسیار خوبه از اهمیت سرعت عمل در واکنش ما است. این رصد می تواند توسط CERT یا SOC توسط Feed های موجود یا بررسی های فردی انجام شود.
  • حتما سیستم عامل و Firmware های خود را از سایت معتبر تهیه و قبل از نصب Hash آن را با سایت اصلی مقایسه کنید. سیستم عامل های Backdoor شده یکی از راه های نفوذ اصلی در دسترسی به روتر ها محسوب می شوند.
  • تمام دسترسی های مدیریتی از راه دور به تجهیزات خود را مسدود یا محدود کنید. نمونه این قابلیت ها Control Plane Policy در روتر های سیسکو می باشد. به علاوه ، لاگ های مربوط به دسترسی را ثبت کرده و آن ها را بررسی کنید.
  • در صورت امکان از یک راه کار Packet analyzer یا IPS ( به صورت Passive یا حتی Tap) در مسیر ارتباطی به روتر خود استفاده کنید و تمامی حملات به پروتکل ها یا دسترسی های غیر مجاز به سمت خود تجهیز روتر را رصد کنید و تجهیزات IPS خود را بگونه ای تنظیم کنید که لاگ های مربوط را به سمت SIEM ، ابزار مدیریت لاگ یا هر ابزار دیگری با قابلیت مشابه ارسال کند. 
  • چک لیست های مربوط به Hardening را پیاده سازی کنید و خطاهای تنظیمات را به حداقل برسانید.
  • تغییرات تنظیمات را به صورت مستمر رصد کنید و در صورتی مشاهده تنظیمات مشکوک یا غیر مجاز بلافاصله نسبت به آن واکنش دهید