IPImen ، Firewall ، NGFirewall-UTM، آیپی ایمن، فایروال ایرانی ، فایروال بومی، یوتی ام بومی، یوتی ام ایرانی، فایروال نسل بعدی ایرانی، فایروال نسل بعدی بومی

Cloudflare

کلمات رایج امنیت شبکه و فناوری اطلاعات IPImen

 باگ CloudFlare CDNJS و گسترش حملات زنجیره تأمین

takian.ir cloudflare cdnjs bug could have led to widespread supply chain attacks 1

زیرساخت شبکه و وب سایت شرکت امنیتی CloudFlare ماه گذشته یک آسیب پذیری مهم را در لایبرری CDNJS خود رفع کرده است. این لایبرری مجموعا 12.7٪ از کل وب سایت های فضای اینترنت را در بر گرفته که از آن استفاده می کرده اند.

ساختار CDNJS یک شبکه تحویل محتوای منبع باز یا content delivery network (CDN) است که به حدود 4،041 مجموعه JavaScript و CSS سرویس ارائه می کند و پس از مجموعه های هاست Google، دومین لایبرری محبوب CDN برای JavaScript است.

این ضعف مربوط به موردی در سرور بروزرسانی لایبرری CDNJS بود که می تواند به طور بالقوه به مهاجم اجازه دهد دستورات دلخواه خود را اجرا کند. این اجرای دستورات دلخواه منتج به در معرض خطر قرار گرفتن کامل آن سرور شود.

به نقل از هکرنیوز، این آسیب پذیری توسط محقق امنیتی RyotaK در 6 آوریل 2021 کشف و گزارش شد. تاکنون هیچ مدرکی دال بر سواستفاده از این نقص در حملات سایبری پیدا و افشا نشده است.

این آسیب پذیری به طور خاص با انتشار پکیج هایی در CDNJS Cloudflare با استفاده از GitHub و npm، و از آن برای ایجاد آسیب پذیری در طی مسیر استفاده مینماید؛ و در نهایت سرور را فریب می دهد تا کد دلخواه خود را اجرا نموده که به متعاقب آن به هدف پایانی یعنی اجرای کد از راه دور نیز می رسد.

takian.ir cloudflare cdnjs bug could have led to widespread supply chain attacks 2

شایان ذکر است که زیرساخت CDNJS شامل ویژگی هایی برای بروز رسانی خودکار لایبرری با اجرای دوره ای اسکریپت ها بر روی سرور برای دانلود فایل های مرتبط از منبع Git مبتنی بر مدیریت کاربر مربوطه یا پکیج رجیستری npm می‌باشد.

محقق امنیتی RyotaK با کشف موردی درباره نحوه پاکسازی مکانیزم مسیرهای پکیج، دریافت که "می توان کد دلخواه را پس از انجام پیمایش مسیر از فایل .tgz منتشر شده برای npm و رونویسی از اسکریپتی که به طور منظم در سرور اجرا می شود، اجرا کرد.".

به عبارت دیگر، هدف از این حمله انتشار نسخه جدیدی از یک پکیج ساختگی ویژه در منبع است که پس از آن سرور بروزرسانی لایبرری CDNJS را برای انتشار انتخاب می نماید؛ در این فرآیند محتوای پکیج مخرب را در نسخه ای از فایل اسکریپت که به طور منظم اجرا شده و در سرور میزبانی میشود کپی میکند و بدین ترتیب امکان اجرای کد دستوری دلخواه را بدست می آورد.

محقق امنیتی RyotaK گفت: "اگرچه این آسیب پذیری می تواند بدون مهارت خاصی مورد بهره برداری قرار گیرد، اما می تواند بسیاری از وب سایت ها را نیز تحت تأثیر قرار دهد. با توجه به این که آسیب پذیری های متعددی در زنجیره تأمین وجود دارد که بهره برداری از آنها ظاهرا آسان است اما این آسیب پذیری ها بسیار تأثیرگذار هستند که مسئله نشان از خطرناک و ترسناک بودن آنها دارد.".

این اولین بار نیست که محققان امنیتی درباره نحوه بروزرسانی منابع نرم افزار، نقایص اساسی و مهمی را کشف می کند. در آوریل 2021 نیز RyotaK اعلام کرد که یک آسیب پذیری مهم در منبع رسمی Homebrew Cask توسط یک مهاجم برای اجرای کد دلخواه در دستگاههای کاربران مورد سواستفاده قرار گرفته است.

در پی هک شرکت امنیتی ویدئویی Verkada، تصاویر 150 هزار دوربین امنیتی لو رفت

 

شرکت امنیتی ویدئویی و هوش مصنوعی  Verkada مورد حمله سایبری قرار گرفته است و به هکرها امکان دسترسی به بیش از 150،000 دوربین امنیتی متصل به اینترنت را که در داخل مدارس، سلولهای زندان، بخش های ICU بیمارستان ها و شرکت های بزرگی مانند تسلا، نیسان، اکیوفاکس، کلودفلیر و دیگران مورد استفاده قرار می گرفت، داده است.

این هک توسط یک گروه ضد شرکتی به نام APT-69420 ، مستقر در سوئیس انجام شده است. به گفته نماینده گروه، خانم تیل كاتمن، آنها در تاریخ 8 مارس به سیستم های ورکادا دسترسی پیدا كردند و در پی آن، هك 36 ساعت ادامه داشت. وی ورکادا، استارتاپ مستقر در سیلیکون ولِی را به عنوان "یک پلت فرم کاملاً متمرکز" توصیف کرد که دسترسی و بارگیری فیلم از هزاران دوربین امنیتی را برای تیمش آسان می کند. به نظر می رسد این تصاویر فاش شده شامل شرکت ها و موسسات بزرگ است، اما خانه های شخصی شامل این موارد نیستند.

این فیلم و تصاویر به قصد حفظ طیف وسیعی از فعالیتها که ممکن است حساس باشند ضبط میشده اند، مانند فیلم امنیتی از خط تولید ماشین تسلا و همچنین تصویر از داخل شرکت امنیتی کلودفلیر. برخی از این محتواها بسیار شخصی است، از جمله فیلم بیماران در بخش های مراقبت ویژه بیمارستان ها و زندانیان داخل زندان شهرستان مدیسون در هانتسویل ایالت آلابامای ایالات متحده آمریکا.

کاتمن امنیت در سیستم های Verkada را "ناموجود و غیرمسئولانه" توصیف کرد و گفت که گروه وی این شرکت را هدف قرار داد تا نشان دهد دسترسی به دوربین های متصل به اینترنت که در مکان های بسیار حساس قرار دارند، بسیار آسان است.

takian.ir verkada hacked and breached 1

ورکادا گفته است که آنها این نفوذ و هک را به مشتریان خود اطلاع داده اند و تیم های امنیتی آنها با یک شرکت امنیتی خارجی در حال تحقیق در مورد آن هستند. ورکادا به خبرگزاری ها اعلام کرد: "ما برای جلوگیری از هرگونه دسترسی غیرمجاز، همه حسابهای با سطح دسترسی ادمین داخلی را غیرفعال کرده ایم. تیم امنیت داخلی و شرکت امنیتی خارجی ما در حال بررسی مقیاس و دامنه این نفوذ و حمله سایبری هستند و ما این امر را به نیروی های امنیت فدرال اطلاع داده ایم."

takian.ir verkada hacked and breached 2

سازمان امنیت فدرال در این باره توضیحی نداده است. خبرگزاری ها با شرکت تسلا و اکیوفاکس تماس گرفته است اما آنها تا زمان انتشار این خبر از هرگونه اظهار نظر و ارائه پاسخی ارائه خودداری کردند.

کوتمن یک آرشیو 5 گیگابایتی را در اختیار خبرگزاری ها قرار داده است که حاوی ویدئو و تصاویر حاصل این نفوذ و هک بوده است و حمله را "غیر تکنیکال" توصیف کرد و ادعا کرد که انجام آن دشوار نبوده است!

takian.ir verkada hacked and breached 3

کاتمن گفت که گروه وی یک نام کاربری و رمز عبور ادمین ورکادا را که در یک زیر دامنه رمزگذاری نشده، ذخیره شده بود، کشف کردند. به گفته وی، این شرکت یک سیستم توسعه داخلی را در فضای اینترنت منتشر کرده است که حاوی گواهینامه های با رمزهای پیجیده است که به گفته وی به آنها امکان کنترل کامل سیستم آنها با سطح دسترسی "Super Admin" را می دهد.

کاتمن افزود: "ما اسکن هایی را در گستره بسیار وسیعی انجام می دهیم که به طبیعتا هدف از این اسکن ها، دنبال کردن و یافتن آسیب پذیری ها است. اما این مورد  بسیار آسان بود. ما به سادگی از برنامه تحت وب آنها به روشی استفاده کردیم که هر کاربری انجام می داد، اما ما این توانایی را داشتیم که شناسه خودمان را به هر حساب کاربری دلخواهمان، تغییر دهیم. ما به هیچ سروری دسترسی پیدا نکردیم. ما به سادگی با یک کاربر (حساب) سطح بالا وارد UI وب آنها شدیم".

takian.ir verkada hacked and breached 4

کوتمن گفت که گروه هکری وی انگیزه پول یا حمایت مالی هیچ کشور یا سازمانی ندارند. وی افزود: "APT-69420 توسط هیچ ملت یا شرکتی پشتیبانی نمی شود و هیچ چیزی جز روابط اجتماعی، سرگرمی و هرج و مرج پشتیبانی نمی کند".

كوتمن در پاسخ به این سوال كه آیا از عواقب ناشی از آن می ترسد نیز پاسخ داد: "شاید من باید اندکی روان پریش باشم، اما در عین حال چه چیزی تغییری می كند؟ من فقط به همان اندازه كه الان هستم، تحت هجمه و حمله قرار خواهم گرفت".

سبک جدید و خلاقانه حملات، دريافت باج بابت توقف حملات سیل آسا

حمله درخواست باج DDoS چیست؟

حمله باج DDoS یا  Ransome DDoS (RDDoS) زمانی است که گروه های خرابکار با تهدید سازمان ها یا اشخاص به حمله distributed denial of service (DDoS) اقدام به اخاذی میکنند. طرف خرابکار مورد بحث ممکن است حمله DDoS را انجام داده و سپس با یک نوشته درخواست باج خواستار پرداخت پول جهت متوقف کردن حمله کرده، یا ممکن است ابتدا درخواست باج مبنی بر تهدید به حمله DDoS را ارسال کند. در حالت دوم، ممکن است مهاجم در اصل قادر به انجام حمله نباشد، اما عاقلانه نیست که چنین تهدیدی را پوچ تلقی کرد.

بهترین راه محافظت در برابر حملات درخواست باج DDoS یک سرویس کاهش خطرات DDoS قدرتمند است. پرداخت باج به شخص یا گروهی که تهدیدها را انجام داده است هرگز فکر خوبی نبوده و نیست.

 

حمله DDoS چیست؟
حمله DDoS تلاشی برای درگیر و شلوغ کردن منابع یک برنامه، وب سایت یا شبکه است تا کاربران قانونی نتوانند خدماتی که میخواهند را دریافت کنند. حملات DDoS دقیقاً مانند انسداد ترافیکی در آزادراه ها، سیل بزرگی از ترافیک شبکه ناخواسته را به اهداف خود سرازیر میکند. منظور از حملات DDoS "توزیع شده"، این است که آنها ترافیک را از منابع مختلف (غالباً منابع جعلی) ارسال می کنند، که این عامل، مسدود کردن آنها را دشوارتر از حمله Denial of Service (DoS) که با استفاده از یک منبع واحد است، می کند.
لازم به ذکر است که مهاجمان DDoS از تعدادی پروتکل شبکه مختلف استفاده می کنند.
حملات DDoS می تواند تأثیرات عمده ای بر عملیاتی بودن فعالیت های سازمان ها داشته باشد. برای بسیاری از مشاغل، هر بازه زمانی خرابی به معنای از دست دادن درآمد است. اگر سازمانها برای مدت زمان طولانی آفلاین باشند، ممکن است متعاقبا اعتبارشان را نیز از دست بدهند.

 

حمله DDoS باج چگونه کار می کند؟
بیشتر حملات باج DDoS با ارسال یک متن درخواست باج به هدف مورد نظر که در آن مهاجم شرکت یا سازمان را تهدید می کند، آغاز میشود. در بعضی موارد، یک مهاجم ممکن است یک حمله اعلانی کوچک انجام دهد تا جدیت خود را قبل از ارسال درخواست باج نشان دهد. اگر تهدید واقعی باشد و مهاجم تصمیم به پیگیری آن بگیرد، حمله به صورت زیر انجام می شود:

1. مهاجم شروع به ارسال ترافیک حمله به سمت هدف می کند. آنها می توانند از بات نت خود یا سرویس DDoS که برای انجام حمله راه اندازی کرده اند، استفاده کنند. چندین نفر که با هم کار می کنند نیز می توانند با استفاده از ابزار DDoS ترافیک حمله ایجاد کنند. ترافیک حمله می تواند لایه های 3 ، 4 یا 7 را در مدل OSI هدف قرار دهد.

2. برنامه یا سرویس مورد نظر تحت تأثیر ترافیک حمله قرار می گیرد و یا با افت سرعت مواجه شده، یا به کل خراب می شود.

3- حمله تا زمان اتمام منابع مهاجم ادامه می یابد، آنها به دلیل دیگری ممکن است حمله را غیرفعال کنند و یا هدف حمله قادر به کاهش مخاطرات حمله است. روش های کاهش خطر شامل محدود کردن بازه، مسدود کردن IP، blackhole routing یا سرویس محافظت DDoS باشد. سه مورد اول در برابر حملات با توزیع گسترده، دشوار است.

4- مهاجم ممکن است در خواسته های خود برای پرداخت تجدید نظر کند، حملات بعدی را انجام دهد، یا هر دو را اعمال کند.

 

به طور معمول چه چیزی در یک متن درخواست باج DDoS ذکر میشود؟
متن درخواست باج DDoS، پیامی است که از طرف عامل خرابکار به یک شرکت ارسال می شود و درخواست پول میکند، در صورت عدم پرداخت، عامل مخرب حمله DDoS را انجام می دهد. اغلب این موارد از طریق ایمیل ارسال می شوند. گاهی اوقات مهاجم چندین پیام ارسال می کند و در هر پیام جزئیات بیشتری در مورد تهدیدها یا خواسته های خاص خودشان مطرح می کنند.

تهدید
تهدید موجود در یادداشت درخواست باج حمله DDoS می تواند به چندین شکل مختلف باشد:

عامل مخرب ممکن است به اعتبار حمله DDoS قبل، هدف را به حمله دیگری تهدید کند.
آنها ممکن است بر مبنای حمله DDoS که در حال حاضر بر روی هدف در حال انجام است، درخواست باج کنند.
آنها ممکن است هدف را به حمله DDoS در آینده تهدید کنند، که ممکن است در یک زمان خاص با نامشخص انجام بپذیرد.

 

جزئیات تهدید به حمله
برای خطرناکتر جلوه دادن تهدید، ممکن است مهاجم ادعا کند که توانایی انجام حمله DDoS با اندازه و مدت مشخص را دارد. این ادعاها لزوماً درست نیستند: فقط به این دلیل که کسی ادعا می کند قادر به حمله 3 Tbps است که 24 ساعت طول می کشد، به این معنی نیست که آنها در واقع منابعی را برای انجام آن دارند.

 

وابستگی گروهی
برای افزودن اعتبار به تهدیدات خود، مهاجم ممکن است ادعا کند که به گروه های معروف هکر مانند Fancy Bear، Cozy Bear، گروه Lazarus ، Armada Collective یا دیگران وابسته است. این ادعاها ممکن است درست باشد اما تأیید آنها دشوار است. این ممکن است بلوف یا یک اقدام copy-cat از طرف مهاجم باشد.

 

تقاضای پرداخت و دستورالعمل های ارسال باج
متن درخواست باج در انواع پرداخت مختلفی تقسیم بندی می شود. پرداخت در قالب بیت کوین یک درخواست مشترک است، اما ممکن است مهاجم با ارز دیجیتال رمزپایه دیگری یا با ارز مجاز از طرف دولت (دلار ، یورو و غیره) باج مدنظرش را نیز بخواهد. به طور مشترک، آنها معمولاً مبلغ مشخصی را درخواست می کنند و دستورالعمل های تحویل پول را ارائه می دهند.

 

مهلت یا محدودیت زمانی
سرانجام برای بیان فوریت مطالبه آنها و افزایش احتمال پاسخدهی مجموعه هدف، متن درخواست باج ممکن است قبل از شروع حمله تهدید شده، یا برای اینکه حمله فعلی پایان یابد یک مهلت دشوار و محدود را برای تحویل باج معین کرده باشد. برخی از مهاجمان به ازای هر ساعت یا روز تاخیر و عبور از مهلت مقرر، ممکن مبلغ درخواستی خود را افزایش دهند.

 

آیا پرداخت باج ایده خوبی است؟
نه. گذشته از اینکه پرداخت باج مستلزم دادن پول به مجرمان است، پرداخت باج تضمین نمی کند که مهاجمان فعالیت خود را متوقف کنند. برعکس، سازمانی که باج می دهد حتی هدف مطلوب تری است: این سازمان نشان داده است که مایل است خواسته های مهاجمان را برآورده کند و بنابراین به احتمال زیاد خواسته های آینده آنها را نیز برآورده خواهد کرد.

علاوه بر این، هر چقدر مهاجم پول بیشتری بدست آورد، بهتر قادر به تأمین بودجه عملیات باج گیری خود و گسترش توانایی های خود برای حملات آینده خواهد بود.
در نهایت همیشه این احتمال وجود دارد که تهدید قابل انجام نباشد و یک سازمان برای هیچ و پوچ، پول و باج را پرداخت کند.

مشاغل در پی حملات DDoS از انها درخوسات باج میشود، باید این موارد را به مقامات مربوطه مجری قانون گزارش دهند و برای دفاع از خود در برابر حملات احتمالی، در صورت اجرای تهدیدات، ضمانت هایی را در نظر بگیرند.

 

آیا اکثر تهدیدات باج DDoS قابل انجام هستند؟
تمام تهدیدهای امنیتی باید جدی گرفته شوند. با این حال، همه تهدیدات باج DDoS واقعی نیستند. ارسال یک ایمیل کوتاه دریافت باج نسبتاً آسان است. برای انجام حملات گسترده و بزرگ DDoS، جهت نگهداری، مدیریت و فعال کردن شبکه بزرگی از دستگاههای در معرض خطر (معروف به botnet) به منابع بسیار زیادی نیاز است.
همانطور که گفته شد، بسیاری از خدمات به کارگیری و انجام حملات DDoS در دارک وب موجود است و ممکن است مهاجم برای انجام حمله با یکی از این سرویس ها قرارداد ببندد. به طور طبیعی این هزینه برای مهاجم مستلزم پرداخت پول است، که آنها می توانند از طریق تهدیدات دریافت باج DDoS، آنرا بدست آورند.
معمولاً حملات DDoS یک بازی اعداد است. خواه طرف خواستار باج، قادر به انجام تهدیدهای خود باشد یا خیر، آنها برای پرداخت و دریافت باج روی درصد کمی از اهداف خود حساب می کنند.
به جای تلاش برای ارزیابی اعتبار تهدید و احتمال حمله، ایمن ترین راه استفاده از سرویس محافظت DDoS است که می تواند یک ساختار وب یا شبکه را به هر شکل ممکن بصورت آنلاین حفظ کند.

 

تفاوت حمله باج DDoS و باج افزار چیست؟
حملات باج افزاری یکی دیگر از انواع رایج اخاذی آنلاین است. باج افزار نرم افزاری مخرب است که سیستم ها و پایگاه داده های یک سازمان را رمزگذاری می کند و آنها را غیرقابل استفاده می کند. هنگامی که رمزگذاری کامل شود، مهاجم در ازای رمزگشایی سیستم های سازمان، پول مطالبه میکند. باج افزار باید به نوعی وارد سیستم ها یا شبکه های داخلی کسب و کار شود. پیوست های ایمیل مخرب همراه با حملات فیشینگ، عامل مشترک این نوع تهدیدات است.

برخلاف حمله باج افزاری، حمله باج DDoS سیستم های یک شرکت را رمزگذاری نمی کند. این حملات فقط هدفشان، آفلاین کردن آن مجموعه است. همچنین قبل از اجرای آن نیز، نیازی به دسترسی مهاجم به سیستم های داخلی یک کسب و کار نیست. با این وجود، با داشتن محفاظت به حد کافی قوی DDoS، حمله باج DDoS نمیتواند تاثیر بسزایی بر عملکرد یک کسب و کار ایجاد نماید.