گروه باج افزاری Babuk که در آغاز سال 2021 کشف شده است، چندین بخش از جمله مراقبت های بهداشت و درمان، تولید و تدارکات را هدف قرار داده است. این شرکت اخیراً بسیار فعال بوده و از قربانیان خود هزاران دلار باج مطالبه کرده است.

 

چرا بابوک یک تهدید رو به رشد است؟

مجرمان پشت پرده این باج افزار، تکنیک اخاذی مضاعف را اجرا می کنند، که در آن اپراتورها پس از سرقت اطلاعات، فایل ها را قفل می کنند. مطالبات پرداختی برای باج این باند بدافزاری از 60،000 تا 85،000 دلار متغیر است.

به گزارش سای‌ور، تنها در طی یک ماه، این باند به چندین سازمان از جمله هیوستون راکتز، فروشگاه تلفن همراه اسپانیا، اداره پلیس متروپولیتن و تلتون بیوتک حمله کرده است.

در این ماه، سازمان های ورزشی، ارتباطی و دولتی دیگر را نیز هدف قرار داده است. پیش از این، اهداف شناخته شده شامل نهادهای تولیدی نیز میبودند.

این باند اخیراً ویژگی های جدیدی را به مرحله اجرا درآورده است تا اطمینان حاصل کند دستگاه های قربانی می توانند قبل از استقرار باج افزار رمزگذاری شوند. علاوه بر این، این گروه وب سایتی را برای درز اطلاعات و فشار به قربانیان برای پرداخت باج و مطالبات مالی از آنها ایجاد کرده است.

 

انتقال دهندگان آلودگی

گروه Babuk از چندین وکتور برای گسترش و انتقال آلودگی استفاده می کند؛ از جمله آنها میتوان به فیشینگ ایمیل اشاره کرد که در آن، گروه ایمیل اولیه ای را که به یک بدافزار متفاوت مانند Trickbot یا Emotet لینک شده است، ارسال می کند و به شکل یک لودر عمل می کند.

باند باج افزار بابوک به سوءاستفاده از آسیب پذیری های افشا شده که پچ نشده و بروزرسانی نشده اند، شناخته میشود. این باج افزار بخصوص برای بهره برداری از نرم افزارهای دسترسی از راه دور، سخت افزارهای شبکه، سرورهای وب و فایروال ها نیز شناخته شده است.

این گروه با استفاده از حساب های معتبر در معرض خطر، در شبکه هدف قربانی رسوخ میکند. این کار معمولاً از طریق دسترسی RDP با محافظت ضعیف و با گواهینامه های معتبری که از طریق فروشندگان اطلاعات بدست می آورد، انجام می شود.

به گزارش هک رید؛ شرکت امنیت سایبری نیو اسکای (NewSky)، طی گزارشی از وجود بات نت جدید در حوزه اینترنت اشیا خبر داد. این بات نت که نام آن «DoubleDoor» است، فایروال های را نشانه گرفته و از طریق درب پشتی موجود به این فایروال نفوذ می کند.

این بات نت از طریق دور زدن ویژگی های امنیتی و تأیید های معمول به سیستم قربانی نفوذ می کند.

در این نوع از حمله با توجه به دور زدن تأیید هویت های معمول می توان کنترل کامل تجهیزات هوشمند را در اختیار گرفت.

آسیب پذیری موجود در فایروال های یاد شده با کد آسیب پذیری CVE-2015-7755 شناسایی می شود. همچنین آسیب پذیری دیگری همانند مورد یاد شده در مودم های «Zyxel» شناسایی شده که از طریق درب پشتی موجود در این مودم به سیستم ها نفوذ می کنند و آسیب پذیری مودم های زایکسل با کد CVE-2016-10401 شناسایی می شوند. از طریق این آسیب پذیری از راه دور هم می توان به سیستم نفوذ کرد، گفتنی است از طریق هر نام کاربری با استقاده از گذرواژه « <<< %s(un=’%s’) = %u» می توان به مودم های زاکسل نفوذ کرد.

از طرفی فایروال ها را می توان از طریق نام کاربری «netscreen» و گذر واژه «zyad5001» مورد حمله قرار داد.

در نهایت از طریق آسیب پذیری درب پشتی فایر وال و آسیب پذیری موجود در مودم های زایکسل میتوان حتی از راه دور به سیستم های کامپیوتری نفوذ کرد.

 

مهاجمان با بهره‌وری از یک تکنیک جدید، روشهایی را برای استفاده از Microsoft Background Intelligent Transfer Service (BITS) به منظور جایگذاری پنهانی داده های مخرب بر روی دستگاه های دارای سیستم عامل ویندوز را کشف کرده اند.

به گزارش سایت هکرنیوز، در سال ۲۰۲۰، بیمارستانها، سازمان های بازنشستگی و مراکز درمانی زیادی، متحمل آسیب و ضررهای بسیار شدیدی بابت یک کمپین فیشینگ همیشه متغیر که از روش Backdoor شخصی سازی شده مانند KEGTAP استفاده میکرده است، قرار گرفته اند، که در نهایت زمینه حملات باج افزار RYUK را فراهم میکرده است.

اما تحقیقات جدید شاخه امنیت سایبری شرکت FireEye اکنون مکانیسم پایداری ناشناخته ای را شناسایی کرده است که نشان می دهد مهاجمان از BITS برای راه اندازی Backdoor استفاده کرده اند.

فناوری BITS در ویندوز XP معرفی شد، که یکی از سرویس های مایکروسافت ویندوز است که از پهنای باند خالی شبکه برای تسهیل در انتقال ناهمگام فایل ها بین دستگاه ها استفاده می کند. این امر با ایجاد یک عملگر (فضایی که شامل فایل های بارگیری یا بارگذاری است) حاصل می شود.

فناوری BITS معمولاً برای ارائه به روزرسانی های سیستم عامل به کاربران و همچنین توسط اسکنر آنتی ویروس Windows Defender برای دریافت به روزرسانی های شناسایی علائم بدافزار استفاده می شود. علاوه بر محصولات خود مایکروسافت، این سرویس توسط برنامه های دیگری مانند موزیلا فایرفاکس نیز استفاده می شود تا امکان دریافت اطلاعات در پس زمینه حتی در صورت بسته بودن مرورگر نیز فراهم گردد.

محققان FireEye گفتند: "وقتی برنامه های مخرب عملگر BITS را ایجاد می کنند، فایل ها در چارچوب روند خدمات سرویس کاربر میزبان، روند دریافت یا بارگذاری را انجام می دهند". آنها افزودند: "این امکان می تواند برای جلوگیری از فایروال هایی که ممکن است فرایندهای مخرب یا ناشناخته را مسدود کنند کاربردی باشد و همچنین کمک می کند که مشخص شود کدام برنامه درخواست انتقال اطلاعات را داده است".

بخصوص حوادث مخاطره آمیز قبل که شامل آلوده سازی از طریق Ryuk برای استفاده از سرویس BITS برای ایجاد یک عملگر جدید تحت عنوان "به روزرسانی سیستم" که برای راه اندازی یک فایل اجرایی با نام "mail.exe" برنامه ریزی و پیکربندی شده است، پس از تلاش برای بارگیری URL نامعتبر، باعث ایجاد Backdoor برای KEGTAP شده است.

محققان اظهار داشتند: "عملگر مخرب BITS جهت تلاش برای انتقال HTTP یک فایل موجود از localhost تنظیم شده است. و از آنجا که این فایل هرگز وجود نخواهد داشت، BITS حالت خطا را ایجاد کرده و دستور notify را اجرا می کند، که در این مورد، این دستور به معنی اجرای KEGTAP می باشد".

سازوکار جدید یادآور این نکته است که چگونه استفاده از یک ابزار مفید مانند BITS به نفع مهاجمان میتواند خطرساز باشد. همچنین برای کمک به پاسخگویی سریعتر به این دست حوادث و تحقیقات تیم امنیتی، محققان یک ابزار پایتون به نام BitsParser را در دسترس عموم قرار داده اند، که هدف آن تجزیه فایل های پایگاه داده BITS و استخراج عملگر و اطلاعات فایل ها جهت تجزیه و تحلیل بیشتر است.

تعداد قابل توجهی از سیستم‌های صنعتی و شرکت‌های بزرگ به علت وجود بیش از ده آسیب پذیری در محصولات امنیتی Gemalto در معرض خطر حملات از راه دور قرار گرفتند.

تعداد قابل توجهی از سیستم‌های صنعتی و شرکت‌های بزرگ به علت وجود بیش از ده آسیب پذیری در محصولات امنیتی Gemalto در معرض خطر حملات از راه دور قرار گرفتند.Gemalto Sentinel LDK یک نرم‌افزار امنیتی است که ارگان‌های بسیاری در سراسر جهان چه سازمان‌ها و چه ICSها (سیستم‌های کنترل صنعتی) از آن استفاده می‌کنند. این راهکار علاوه بر اجزای نرم‌افزاری، راهکار محافظت مبتنی بر سخت افزار را نیز فراهم می‌کند که به طور خاصی یک دانگل USB با نام SafeNet Sentinelدارد که کاربران هنگام اتصال به یک رایانه یا یک سرور می توانند از آن استفاده کنند.
به گزارش کسپرسکی آنلاین، محققان در لابراتوار کسپرسکی کشف کردند که هنگامی که توکن به دستگاه متصل می شود درایوهای لازم نصب می‌شوند که این موارد یا توسط ویندوز دانلود می شوند یا توسط نرم‌افزارهای شخص ثالث ارائه می‌گردد و پورت 1947 به لیست استثناها در فایروال ویندوز اضافه می‌شود. پورت حتی هنگام خارج کردن دانگل از قسمت USB باقی خواهد ماند و با این مورد اجازه دسترسی از راه دور فراهم می‌گردد.
کارشناسان در مجموع 14 آسیب‌پذیری را در اجزای Sentinel یافته اند که این آسیب پذیری‌ها اجازه استفاده از حمله (DoS)، اجرای کد دلخواه با امتیازات سیستم و ضبط هش NTLM را به مجرمان می‌دهد. از آنجا که پورت 1947 اجازه دسترسی به سیستم را می‌دهد این آسیب‌پذیری و نقوص می‌تواند توسط یک مجرم از راه دور اکسپلویت شود.
کسپرسکی پس از این موضوع تصمیم به آنالیز نرم‌افزار گرفت. تحقیقات نشان داد که مجرمان می‌توانند شبکه را برای پورت 1947 شناسایی و از راه دور اسکن کنند یا که اگر به دستگاه دسترسی فیزیکی داشته باشند می‌توانند دستگاه‌ها را مورد هدف قرار دهند، آنها با اتصال به دانگل USB (حتی در زمانی که سیستم قفل باشد) می‌توانند از راه دور دسترسی کامل بیابند و اهداف خرابکارانه‌ خود را اجرا سازند. تغییر پراکسی به مهاجم اجازه می‌دهد که هش NTLM برای حساب کاربری که در حال اجرای فرایند لایسنس است را بدست آورد.
یازده آسیب پذیری توسط لابراتوار کسپرسکی در اواخر سال 2016 و اوایل سال 2017 کشف شد و سه مورد دیگر آنها در ماه ژوئن سال 2017 یافت شد. در آن زمان هشدارهای لازم در مورد Gemalto داده شد و این شرکت نسخه 7.6 خود را منتشر ساخت. در اواخر ژوئن سال 2017 تعدادی از آسیب پذیری‌ها پچ شد اما این در حالی بود که Gemalto  از میزان خطرات این آسیب پذیری‌ها و آپدیت‌های لازم به کاربران خود چیزی نگفته بود. چندین توسعه دهنده نرم‌افزاری که از این لایسنس‌ها استفاده می کردند به کسپرسکی اعلام کردند که آن ها هرگز از باگ های امنیتی مطلع نبودند و همچنان در حال استفاده از نسخه‌های دارای مشکل هستند.
علاوه بر نصب آخرین نسخه از Sentinel driver، لابراتوار کسپرسکی به کاربران توصیه می‌کند که پورت 1947 خود را در صورتی که برای فعالیت‌های خاصی از آن استفاده نمی‌کنند، ببندند.
در حالی که تعداد دقیق دستگاه‌های مصرف کننده از محصول Gemalto نامشخص است اما کسپرسکی معتقد است تعداد آنها می تواند میلیونی باشد. مطالعات سال 2011 Frost و Sullivan نشان می‌دهد که SafeNet Sentinel 40 درصد از سهام بازار را در زمینه راهکارهای کنترل لایسنس یا همان مجوز را در آمریکای شمالی و 60 درصد در اروپا دارد.
آسیب‌پذیری نرم‌افزار Gemalto در محصولات چندین کمپانی از جملهABB, General Electric, HP, Cadac Group Siemens و Zemax یافت شده است.هفته ی گذشته ICS-CERT و کمپانی Siemens هشدار دادند که بیش از ده نسخه از SIMATIC WinCC Add-On تحت تاثیر سه آسیب پذیری بحرانی شدید توسط نرم‌افزار Gemalto قرار گرفته است. کمپانی Siemens اطلاع داد که این نقص می‌تواند احتمال حملات DoS و اجرای کد دلخواه را به مجرمان بدهد.
Siemens به کاربران خود اطلاع رسانی لازم را اعلام نمود و گفت نرم‌افزار آسیب‌پذیر Gemalto در افزونه‌های SIMATIC WinCC که در سال 2015 و قبل از آن منتشر شده بود، مورد استفاده قرار گرفته است.
Vladimir Dashchenko مدیر گروه تحقیقات آسیب پذیری در ICS CERT  لابراتوار کسپرسکی هشدار داد که "با توجه به گستردگی این سیستم مدیریت مجوز، مقیاس احتمالی عواقب بسیار زیاد است، زیرا این توکن‌ها نه تنها در محیط‌های سازمان‌ها بلکه در مکان‌های حیاتی با قوانین دسترسی از راه دور مورد استفاده قرار می گیرد. وی افزود شبکه‌های بحرانی و حیاتی می‌توانند به راحتی توسط این آسیب‌پذیری دچار آلودگی و در معرض خطر قرار گیرند.

 

تحقیقات جدید نشان میدهد که در طی سال گذشته اجرا و اعمال چندین راهکار حفاظت و امنیت سایبری به طور همزمان مانع از دست دادن داده ها و اطلاعات، بخصوص در بسیاری از سازمان های بزرگ نشده است.

این یافته بخشی از دومین نظرسنجی سالانه هفته محافظت سایبری است که توسط شرکت فناوری جهانی آکرونیس انجام شده است. محققان از 4،400 کاربر فناوری و امنیت اطلاعات و متخصص در 22 کشور در شش قاره جهان در مورد راهکارهای امنیت سایبری خود سوال کردند.

نتایج نشان داده است در حالی که 80% شرکتها اکنون 10 راهکار مختلف را برای محافظت از داده ها و سیستم های رایانه ای خود اجرا می کنند؛ بیش از نیمی از این سازمانها در سال 2020 بعد از دست دادن داده ها، از کار افتاده و از دسترس خارج شده اند.

سخنگوی آکرونیس گفت: "نه تنها سرمایه گذاری در راهکارهای امنیتی بیشتر باعث حفاظت بیشتر نمی شود، بلکه در بسیاری از موارد تلاش برای مدیریت حفاظت از طریق چندین راهکار و نرم افزار، پیچیدگی بیشتر و دید کمتری را برای تیم فناوری اطلاعات ایجاد می کند، که امکان بروز خطر را افزایش می دهد".

محققان معتقدند زمانی که صحبت از آگاهی متخصصین حوزه فناوری اطلاعات و کاربران از توانایی ارگان های آنها در بحث امنیت سایبری میشود، اختلاف فاحشی بین این دو دسته وجود دارد.

این بررسی نشان داده است که 68% از کاربران فناوری اطلاعات و 20% از متخصصان فناوری اطلاعات قادر به تشخیص این موضوع نیستند که اطلاعات آنها بدون اطلاع آنها تغییر یافته است، زیرا راهکارهای امنیت سایبری آنها تشخیص این نوع تغییرات را دشوار می کند.

تقریباً نیمی از کاربران حوزه فناوری اطلاعات (43%) در ناآگاهی به سر می بردند که از این نکته اطلاع ندارد که آیا نرم افزارهای محافظت در مقابل بدافزار آنها تهدیدات zero-day را متوقف می کند یا خیر؛ زیرا راهکارهای امنیتی آنها چنین اطلاعاتی را به راحتی در دسترس کاربر نمی گذارد.

یک دهم متخصصان فناوری اطلاعات اعتراف کردند که نمی دانند سازمان آنها تحت مقررات حریم خصوصی داده ها قرار دارد یا خیر و به طور بالقوه ای، شرکت و سازمان خود را در معرض جریمه های سنگین به دلیل عدم انطباق قرار می دهند.

محققان رویکردی فردی در زمینه امنیت سایبری را آشکار کردند که از آن با عنوان "به شکل سرسام آوری سست" توصیف کردند.

در حالی که 83% از کاربران حوزه فناوری اطلاعات گفتند که در سال 2020 وقت بیشتری را در دستگاه های خود صرف کرده اند و فقط نیمی از آنها اقداماتی اضافی برای محافظت از این دستگاه ها انجام داده اند. یک سوم (33%) آنها اعتراف کرده اند که پس از اطلاع از انتشار بروزرسانی ها، حداقل یک هفته منتظر مانده اند تا دستگاه های خود را با آن بروزرسانی جدید، به روز نمایند.

یافته های این نظرسنجی نشان می دهد که کاربران حوزه فناوری اطلاعات نمی دانند چگونه از داده های خود به درستی پشتیبان گیری کنند، زیرا 90% گزارش کرده اند که نسخه پشتیبان تهیه می کنند؛ در حالی که 73% آنها گفتند که حداقل یک بار داده های خود را از دست داده اند.

 

طبق گزارش سازمان تحقیقات فدرال (FBI) و آژانس امنیت سایبری و زیرساخت (CISA)، عاملین تهدیدات مداوم پیشرفته ضد دولتی، به طور فعال و فزاینده ای از نقاط ضعف امنیتی شناخته شده در Fortinet FortiOS سوءاستفاده می کنند و محصولات SSL VPN این شرکت را تحت تأثیر قرار داده و به خطر می اندازند.

اداره تحقیقات فدرال و آژانس امنیت سایبری و زیرساخت، یک بیانیه و راهنمایی مشترک برای هشدار به سازمان ها و کاربران در مورد نحوه استفاده هکرها از آسیب پذیری های مهم در Fortinet FortiOS VPN صادر کرده اند.

هدف آنها استقرار یک ساختار ضد دفاعی برای نقض امنیت مشاغل متوسط ​​و بزرگ در آینده است.

بر اساس هشداری که در روز جمعه صادر شده است، عاملین تهدیدات مداوم پیشرفته ضد دولتی، از نقاط ضعف شناخته شده در سیستم عامل امنیتی سایت FortiOS سوءاستفاده کرده و محصولات SSL VPN Fortinet را هدف قرار می دهند. با این حال، آژانس ها جزئیات بیشتری در مورد تهدیدات مدوام پیشرفته به اشتراک نگذاشته اند.

FortiOS SSL VPN در فایروال های مرزی استفاده می شود که مسئول ممانعت از برقراری ارتباط شبکه های حساس داخلی با دیگر اتصالات اینترنتی عمومی هستند.

 

سوءاستفاده چگونه انجام میپذیرد؟

FBI و CISA گزارش دادند كه عاملین تهدیدات مداوم پیشرفته، دستگاه ها را روی پورت های 4443 ، 8443 و 10443 اسكن می كنند تا پیاده سازی های امنیتی Fortinet را كه انجام نشده اند، پیدا كنند. به ویژه موارد مورد توجه در زمینه نقاط آسیب پذیری طبق CVE-2018-13379 ،CVE-2019-5591 و CVE-2020-12812 طبقه بندی شده است.

بسیار مرسوم است که چنین گروه هایی برای انجام حملات DDoS، حملات باج افزاری، کمپین های فیشینگ، حملات نفوذ زبان جستجوی ساختاری، کمپین های اطلاعات نادرست یا دیس اینفورمیشن، تخریب وب سایت و سایر انواع حملات، از نقایص مهم سوءاستفاده می کنند.

 

چند نکته درباره این خطا

CVE-2018-13379 یک خطای عبور از مسیر Fortinet FortiOS است که در آن، پورتال SSL VPN به یک مهاجم غیرمجاز اجازه می دهد تا فایل های سیستم را از طریق درخواست منابع طراحی شده ویژه HTTP، بارگیری کند.

نقص CCVE-2019-5591 یک آسیب پذیری پیکربندی پیش فرض است که به یک مهاجم غیرمجاز در همان ساختار زیرمجموعه شبکه اجازه می دهد اطلاعات حساس را به سادگی و با تقلید از سرور LDAP ضبط و ذخیره کند.

CVE-2020-12812 یک نقص تأیید اعتبار نامناسب در FortiOS SSL VPN است که به کاربر اجازه می دهد حتی در صورت تغییر نام کاربری، بدون اینکه از وی درخواست FortiToken (تایید اعتبار دو مرحله ای) انجام پذیرد، با موفقیت وارد سیستم شود.

 

چه کسانی در معرض خطر است؟

محققان آژانس های امنیتی خاطرنشان کردند که عاملین این تهدیدات گسترده و پیشرفته، می توانند از این آسیب پذیری ها برای دستیابی به رئوس نهادهای دولتی، فناوری و نهادهای تجاری استفاده کنند.

"به دست آوردن دسترسی اولیه، شرایط را برای عاملین این تهدیدات گسترده و پیشرفته جهت انجام حملات در آینده آماده میکند". پس از بهره برداری، مهاجمان به صورت جانبی حرکت کرده و اهداف خود را زیر نظر می گیرند.

"عاملین این تهدیدات مداوم پیشرفته ممکن است از هر کدام یا همه این CVE ها برای دسترسی به شبکه های چندین بخش مهم زیرساختی و متعاقبا دسترسی به شبکه های اصلی به عنوان دسترسی مقدماتی و بنیادی برای دنبال کردن و پیگیری اطلاعات یا حملات رمزگذاری داده ها استفاده کنند. عاملین این تهدیدات مداوم و پیشرفته، ممکن است از CVE های دیگر یا تکنیک های متداول بهره برداری (مانند فیشینگ) برای دستیابی به شبکه های زیرساختی حیاتی برای تعیین موقعیت و جایگاه اولیه برای حملات بعدی استفاده کنند".

ارائه بروزرسانی برای رفع اشکالات به تغییراتی در ساختار اصلی نیاز دارد و شبکه سازمان ها باید بیش از یک دستگاه VPN داشته باشند. ممکن است سیستم برای زمانی غیرفعال شود و ممکن است کار کسانی که به VPN شبانه روزی احتیاج دارند، دچار اختلال شدیدی شود. با این حال، خطر فعالیت های جاسوسی یا باج افزار به مراتب بسیار بیشتر از این دست موارد است.

 

یک عامل مهاجم و تهدید کننده با دسترسی شبکه به سطح ادمین، توانست به سادگی از این آسیب پذیری سو استفاده کرده و به صفحه مدیریت وارد شود و در نهایت بدون وارد کردن اطلاعات مورد نیاز ورودی سیستم، به عنوان کاربر خود را تعریف نماید.

شرکت مشاوره امنیت سایبری مستقر در اتریش با نام سِک کانسولت، یک آسیب پذیری بزرگ را در سیستم فایروال ساخته و توسعه داده شده توسط شرکت امنیت سایبری آلمانی Genua، شناسایی کرده است.

این سیستم با نام گنوآ گنوگِیت، وظیفه محافظت از ارتباطات بین تجهیزات، تامین امنیت شبکه داخلی در برابر تهدیدات خارجی و تقسیم بندی شبکه های داخلی را دارد.

گنوگیت تنها فایروال در جهان است که رتبه "بسیار مقاوم" را از دولت آلمان دریافت کرده است.

علاوه بر این، با مقررات امنیت اطلاعات NATO Restricted و EU’s RESTRIENT UE/EU RESTRICTED مطابقت و همخوانی دارد. این آسیب پذیری، تمامی نسخه های گنوگِیت را تحت تاثیر قرار داده است.

جنبه حائز اهمیت

طبق گزارش سِک کانسولت، رابط های مدیریت فایروال در برابر آسیب پذیری جانبی احراز هویت طبقه بندی شده و محرمانه با عنوان CVE-2021-27215 آسیب پذیر هستند.

یک عامل مهاجم به راحتی با دسترسی شبکه به سطح ادمین، توانست از این آسیب پذیری سو استفاده کرده و به صفحه مدیریت وارد شود و به متعاقب آن، بدون وارد کردن اطلاعات مورد نیاز ورودی سیستم، به عنوان کاربر خود را تعریف نماید.

سِک کانسولت توضیح میدهد که پس از دستیابی دسترسی به سطح مدیر و روت، برای مهاجم امکان پیکربندی مجدد فایروال، شامل "تنظیمات فایروال، تنظیمات فیلترهای ایمیل، تنظیمات فایروال برنامه تحت وب، تنظیمات پروکسی و غیره" به راحتی وجود دارد.

به عنوان مثال، مهاجمان میتوانند برای دسترسی به یک سیستم غیرقابل دسترسی، کل پیکربندی فایروال را تغییر داده و یا ترافیک سازمان را به "سرور پروکسی کنترل شده مهاجمان"، تغییر مسیر دهند.

توصیه سِک کانسولت

سِک کانسولت در توصیه خود، بر لزوم اصلاح هر چه سریعتر این آسیب پذیری تاکید دارد:

"در محیط های دارای مجوز و تایید شده، لازم است که رابط کاربری مدیر فقط از طریق یک شبکه کاملا مجزا در دسترس باشد. با این وجود، این یک آسیب پذیری امنیتی بسیار مهم و حیاتی است که باید بلافاصله اصلاح گردد".

این شرکت همچنین ویدئویی را برای توضیح نحوه کار این حمله منتشر کرده است (برای مشاهده ویدئو در یوتوب، بر روی این لینک کلیک کنید).

بهترین فایروال جهان دارای نقص بود!

محصولات گنوآ به طور گسترده ای توسط دولت، ارتش، کارخانجات و سازمان های مختلف مورد استفاده قرار میگیرد. با این حال، کشف این آسیب پذیری ثابت میکند که حتی بهترین نرم افزار جهان نیز بی عیب و نقص نیست.

سِک کانسولت توسط یکی از غول های بخش فناوری اطلاعات با نام Atos در سال 2020 خریداری شد. شرکت Armin Stock کمپانی Atos آلمان این آسیب پذیری را کشف کرد. یافته و مستندات در ژانویه 2021 به گنوآ گزارش شد و این شرکت طی چند روز فایل و یک پچ را برای اصلاح این مشکل منتشر کرد.

 

محققان امنیت سایبری روز دوشنبه موج جدیدی از حملات مداوم را با بهره گیری از چندین آسیب پذیری برای استقرار نوع جدیدی از Mirai در دستگاه های متصل به اینترنت فاش کردند.

تیم اطلاعات امنیتی واحد 42 شرکت پالو آلتو در توضیحی نوشت: "پس از نفوذ و سوءاستفاده موفقیت آمیز، مهاجمان سعی می کنند یک shell script مخرب که شامل اعمال آلوده کننده دیگری مانند بارگیری و اجرای انواع Mirai و اخاذی است را بارگیری کنند".

مواردی که در پی این آسیب پذیری مورد سوءاستفاه قرار میگیرند، عبارتند از:

• VisualDoor - آسیب پذیری اعمال دستور از راه دور SonicWall SSL-VPN که اوایل ژانویه سال جاری مشخص گردید.
• CVE-2020-25506 - آسیب پذیری اجرای کد راه دور (RCE) فایروال D-Link DNS-320.
• CVE-2021-27561 و CVE-2021-27562 - دو آسیب پذیری در مدیریت دستگاه Yealink که به مهاجم غیرمجاز اجازه می دهد دستورات دلخواه خود را بر روی سرور با امتیازات دسترسی root اجرا کند.
• CVE-2021-22502 - نقص RCE در گزارشگر Micro Focus Operation Bridge (OBR)، در نسخه 10.40.
• CVE-2019-19356 - روتر بی سیم Netis WF2419 که از RCE استفاده می کند.
• CVE-2020-26919 - آسیب پذیری Netgear ProSAFE Plus RCE

سونیک وال در بیانیه ای اعلام کرد: "بهره برداری VisualDoor از آسیب پذیری سیستم عامل SSL-VPN نسخه قدیمی است که در سال 2015 با نسخه های 7.5.1.4-43sv و 8.0.0.4-25sv بر روی محصولات قدیمی بروزرسانی شده است." همچنین در ادامه افزوده است که "این سوءاستفاده از هر دستگاه سونیک وال که به درستی بروزرسانی شده باشد، قابل اجرا نیست."

همچنین سه آسیب پذیری اعمال دستور که قبلاً نامشخص بوده است، در این مجموعه گنجانده شده است که در برابر اهداف ناشناخته اعمال گردیده که به گفته محققان یکی از آنها همراه با یک بات نت جداگانه با نام MooBot مشاهده شده است.

گفته می شود این حملات به مدت یک ماه از 16 فوریه تا 13 مارس کشف شده است.

صرف نظر از نقصی که از آن برای دستیابی موفقیت آمیز بهره برده شده است، این زنجیره حمله شامل استفاده از ابزار wget برای بارگیری یک shell script از زیرساخت های بدافزار است که سپس برای استخراج باینری های Mirai استفاده می شود، یک بدافزار معروف که دستگاه های مبتنی اینترنت اشیا شبکه ای را تبدیل به بات های کنترل از راه دور کرده که می توانند به عنوان بخشی از بات نت در حملات شبکه با مقیاس گسترده استفاده شود.

علاوه بر دانلود Mirai، shell script های دیگری نیز مشاهده شده اند که در حال بازیابی موارد عملیاتی برای سهولت انجام حملات شدید برای نفوذ به دستگاه های آسیب پذیر با رمزهای عبور ضعیف هستند.

این محقق افزود: "حریم اینترنت اشیا به عنوان یک هدف به راحتی در دسترس مهاجمان باقی مانده و بهره برداری و سوءاستفاده از آن حجم زیاد از آسیب پذیری ها، بسیار آسان است و در برخی موارد می تواند عواقب فاجعه باری را به همراه داشته باشد".

 

بات نت جدیدZHtrap، با استفاده ازHoneypot قربانیان را به دام می اندازد

در یک طرح توسعه مرتبط، محققان شرکت امنیتی چینی نت لب 360، بات نت جدید مستقر در Mirai به نام ZHtrap را کشف کردند که در حالی که برخی از ویژگی ها را از یک بات نت  DDoS معروف به نام Matryosh گرفته است، از روش Honeypot برای یافتن و اضافه کردن قربانیان جدید استفاده می کند.

 

در حالی که هانی پات ها به طور معمول اقدام به تقلید از هدف خود برای جرایم سایبری خود میکنند تا برای نفوذ به آنها جهت کسب اطلاعات بیشتر در مورد روش کار خود استفاده کنند، بات نت ZHtrap برای گسترش و تکثیر بیشتر خود، از یک روش مشابه استفاده کرده و از طریق یکپارچه سازی ماژول جمع آوری IP اسکن برای جمع آوری آدرس های IP که به عنوان اهداف استفاده می شوند، استفاده می کند.

این اطلاعات با زیر نظر گرفتن و بررسی 23 پورت تعیین شده و با شناسایی آدرس های IP متصل به این پورت ها و سپس با استفاده از آدرس های IP انباشته شده برای بررسی چهار آسیب پذیری برای نفوذ به مقادیر در حال بارگیری، به دست آمده است:

• MVPower DVR Shell RCE تأیید نشده
• Netgear DGN1000 Setup.cgi RCE غیرمجاز
• دوربین مدار بسته DVR RCE که بر فروشنده های مختلف تأثیر می گذارد
• اجرای دستور Realtek SDK miniigd SOAP (CVE-2014-8361)

محققان اعلام کردند: "انتشار ZHtrap از چهار آسیب پذیری N-day استفاده می کند و در حالی که از برخی ویژگی های backdoor بهره میبرد، عملکرد اصلی آن DDoS و اسکن کردن است". آنها افزودند: "Zhtrap یک هانی پات را بر روی دستگاه آلوده راه اندازی می کند و تصاویری را از دستگاه های قربانی می گیرد و اجرای دستورات جدید را بر مبنای آن تصاویر غیرفعال می کند و اینگونه به دستگاه تسلط پیدا مینماید".

 

ZHtrap هنگامی که دستگاه ها را به انحصار خود گرفت، با استفاده از Tor برای ارتباط با یک سرور command-and-control برای بارگیری و اجرای مابقی اطلاعات، با بات نت Matryosh ارتباط می گیرد.

محققان با اشاره به اینکه این حملات از 28 فوریه 2021 آغاز شده است، میگویند که توانایی ZHtrap در تبدیل دستگاه های آلوده به هانی پات ، یک "تحول جالب" از بات نت ها برای تسهیل در امر یافتن اهداف و طعمه های بیشتر است.

بات نت های مبتنی بر Mirai جدیدترین مواردی هستند که در فضای حملات سایبری ظاهر شده اند و تا حدی با در دسترس بودن کد سورس Mirai از سال 2016 در اینترنت، زمینه را برای سایر مهاجمان جهت ایجاد انواع مختلف از این بات نت را فراهم کرده است.

در ماه مارس گذشته، محققان یک نوع Mirai به نام "Mukashi" را کشف کردند که مشخص شد دستگاه های ذخیره سازی متصل به شبکه Zyxel (NAS) را هدف قرار می دهد تا آنها را در اختیار یک بات نت قرار دهد. سپس در اکتبر سال 2020، تیم تحقیقاتی اینترنت اشیاء شرکت Avira نوع دیگری از بات نت Mirai به نام "Katana" را شناسایی کرد که از آسیب پذیری های اجرای کد از راه دور برای آلوده کردن روترهای D-Link DSL-7740C، دستگاه های DOCSIS 3.1 wireless gateway و سوئیچ های Dell PowerConnect 6224 سوءاستفاده می کرده است.

 

به گزارش سکیوریتی مگزین، یکی از کارشناسان کمپانی پازیتیوز تکنولوجیز با نام ایگور دیمیترنکو یک آسیب پذیری جدی و بزرگ در ابزار تکثیر اطلاعات VMware vSphere Replication را کشف کرده است. این ابزار به سازمان ها امکان میدهد تا از ماشین های مجازی نسخه پیشتیبان تهیه کرده و در صورت بروز مشکل در ماشین مجازی اصلی، آنها را اجرا نمایند. این نقص و باگ به مهاجمین اجازه دسترسی به رابط مدیریتی تحت وب VMware vSphere Replication را میدهد که در پی آن کدهای دلخواه را بر روی سرور با حداکثر اختیارات اجرا کرده و همچنین اعمال ثانوی ای را آغاز کنند تا کنترل و مدیریت کامل زیرساخت های سازمان ها را به دست بگیرند.

خبر خوب اینکه VMware این آسیب پذیری را که امکان اجرای فرامین از راه دور بر روی سرور را فراهم میکرد، برطرف کرده است. نقص امنیتی با نام CVE-2021-21976 شناخته می شود و دارای نسخه CVSS v3 سری 7.2 است.

ایگور دیمیترنکو توضیح میدهد: "آسیب پذیری هایی که امکان اجرای این نوع حملات (Command Injection) را میدهند، اغلب در محصولاتی که برای مدیریت ایجاد شده اند، یافت میشوند". وی می افزاید: "چنین خطاهایی معمولا به دلیل تایید ناکافی اطلاعات ورودی کاربر ایجاد میشود، که به متعاقب آن در محتوای فراخوان فرمان سیستم قرار میگیرد. مکانیسم هایی برای جلوگیری از چنین حملاتی معمولا در ابزار توسعه دهنده در نظر گرفته شده و تعبیه شده اند تا از احتمال بروز خطا در کدها محافظت نمایند. با این وجود، هنوز ناهنجاری ها و مشکلاتی در کدها اتفاق می افتد؛ به عنوان مثال،  هنگام اجرای سریع کارها و فرامین جدید و یا در راستای حل و فصل سریع یک مشکل که وجود دارد، چنین خطاهایی حادث میشوند. جهت بهره برداری و سواستفاده از آسیب پذیری موجود در محصول VMware، مهاجمین نیازمند مدارک و شناسه معتبری هستند که اینها را میتوان به دلیل استفاده از رمز عبورهای ضعیف و ساده و یا با استفاده از مهندسی اجتماعی، به سادگی به دست آورد".

سازمان ها میبایست جهت رفع این آسیب پذیری، توصیه های اعلام شده رسمی VMware را به کار ببندند. در صورت امکان پذیر نبودن به روز رسانی، سازمان ها و نهادها میتوانند با استفاده از راهکار SIEM، علائم نفوذ را که به طبع به شناسایی رفتار مشکوک در سرور کمک میکند را شناسایی نمایند. در پی آن این نفوذ و عمل مشکوک را ثبت کرده و از جابجایی و نفوذ هر چه بیشتر متجاوز و مهاجم به درون شبکه آن سازمان در سریعتر زمان ممکن جلوگیری کنند.

در سپتامبر 2020، پازیتیو تکنولوجیز آسیب پذیری های همان کلاس (امکان Command Injection) را در PAN-OS، سیستم عامل مورد استفاده توسط فایروال های نسل بعدی Palo Alto Networks، کشف کرد.

محققان امنیتی حداقل سه کمپین عظیم مخرب برای گسترش بدافزارها را کشف کرده اند که از صدها هزار روتر MikroTik سوء استفاده می کنند تا بصورت مخفیانه بدافزارهای ماینر ارزهای دیجیتال (cryptocurrency miners) را بدون اجازه در رایانه های متصل به آنها نصب کنند.
در مجموع، کمپین های بدافزاری بیش از 210،000 روتر از شرکت ارائه دهنده سخت افزار شبکه لتونی (Latvian network hardware provider Mikrotik) در سراسر جهان را به خطر انداخته اند، که هنوز هم در حال افزایش هستند.
هکرها از یک آسیب پذیری شناخته شده در Winbox روتر MikroTik بهره می گیرند که در اردیبهشت ماه سال جاری(1397) کشف شد و طی یک روز از کشف آن پچ شده است که بار دیگر نشان میدهد که پچ نکردن بروزرسانی ها چقدر میتواند دردسرساز باشد.
این نقص امنیتی به طور بالقوه می تواند به مهاجم این اجازه را بدهد که از راه دور به هر روتر میکروتیک آسیب پذیری دسترسی داشته باشد.
اولین کمپین برای اولین بار توسط توسط محققان Trustwave کشف شد که با هدف قرار دادن تجهیزات شبکه در برزیل آغاز شده بود، جایی که یک هکر یا گروهی از هکرها بیش از 183،700 روتر MikroTik را به خطر انداختند.
از آنجا که هنوز هم بسیاری از روترهای میکروتیک موجود در دنیا، پچ های مرود نظر را نصب نکرده اند و هکرها هرروز اطلاعات بیشتری در مورد این باگ کشف میکنند، احتمال میرود که این حملات در مقیاس گسترده تری در جهان گسترش یابند.
تروی مورچ (Troy Mursch)، یکی از محققان امنیتی، دو کمپین مشابه بدافزار را شناسایی کرده است که 25،500 و 16،000 روتر MikroTik را در مولدووا آلوده کرده است، که این بدافزارها عمدتاً به منظور ماینینگ ارزهای دیجیتال بوده و از سرویس CoinHive بهره برده اند. روش کار به این صورت است که مهاجمان کد جاوا اسکریپت Coinhive را به صفحات وبی تزریق میکنند که از مسیر یک روتر آسیب پذیر مشاهده شود تا در نهایت هر کامپیوتر متصل را به صورت ناشناس به یک ماینر ارز دیجیتالی مونرو (Monero) تبدیل کند.
سایمون کنین (Simon Kenin) محقق شرکت Trustwave می گوید: "مهاجم یک صفحه خطای سفارشی با اسکریپت CoinHive را ایجاد کرده است" و "اگر کاربر هنگام مرور صفحات وب، یک صفحه خطا (از هر نوع) را دریافت کند، این صفحه خطای سفارشی برای کاربر ارسال میگردد و شروع به ماینینگ میکند."  آنچه در مورد این کمپین ها قابل توجه است، این است که مهاجمان بجای اینکه با استفاده از روش های پیچیده استفاده کنند، توانسته اند به همین راحتی کلاینت های بسیار زیادی را آلوده کرده و به هدفشان برسند.
سایمون کنین همچنین گفت: "صدها هزار دستگاه از این دستگاه ها (MikroTik) در سرتاسر جهان وجود دارد، در ISP ها و سازمان ها و کسب و کارهای مختلف، هر دستگاه حداقل ده ها و نه صدها کاربر روزانه را خدمت می کند. این یک زنگ اخطار خوب برای کاربران و مدیران فناوری اطلاعات است که در حال حاضر روترهای MikroTik آسیب پذیر را در محیط خود به کار می گیرند تا در اسرع وقت دستگاه های خود را بروزرسانی و پچ کنند".
این اولین بار نیست که روترهای MikroTik برای گسترش نرم افزارهای مخرب هدف قرار گرفته اند. در اسفند ما سال 1396 نیز، یک گروه هک پیشرفته APT از آسیب پذیری های ناشناخته در روترهای MikroTik به منظور مخفی ساختن نرم افزارهای جاسوسی به رایانه های قربانیان بهره برداری کرد.
حرف آخر:با توجه به بالا رفتن قیمت ارز و قیمت پایین تجهیزات میکروتیک ، استفاده از این فایروال روتر بسیار فراگیر شده است، برای جلوگیری از بروز حملات رایج مطرح شده در این چند ماه و درگیر شدن با کمپین های بدافزاری، حتما فایروال روتر میکروتیک خود را بروزرسانی کرده و دسترسی های آن را محدود نمایید و در سناریوهای تخصصی تر حتما از فایروال های حرفه ای استفاده نمایید.