• info@arka.ir
  • تماس با ما: 02191300476 - ۰۲۱۸۸۸۰۴۹۶۱
  • تهران، خیابان شهید بهشتی، خ پاکستان، کوچه ۴ پلاک ۱۱ واحد ۷
11 آگوست 2021

عاملان تهدید ناشناس به طور فعال از آسیب پذیری دور زدن احراز هویت برای حمله به روترهای خانگی تنها دو روز پس از افشای عمومی آن و به عنوان بخشی از تلاش برای پیوند دادن آنها با بات نت نوع Mirai استفاده می کنند که مشخصا برای انجام حملات DDoS استفاده می شود.

این نقطه ضعف با عنوان CVE-2021-20090 (امتیاز CVSS: 9.9)، مربوط به آسیب پذیری مسیرهای انتقال اینترفیس های وب روترها با سیستم عامل Arcadyan است که می تواند به مهاجمان از راه دور غیر مجاز اجازه بدهد که مرحله احراز هویت را دور زده و از آن عبور کنند.

در طی گزارش هایی که توسط Tenable در سوم آگوست افشا شد، اعتقاد بر این است که این مشکل حداقل ۱۰ سال است که وجود داشته و حداقل ۲۰ مدل را در محصولات ۱۷ تامین کننده مختلف شامل Asus ،Beeline ،British Telecom ،Buffalo ،Deutsche Telekom ،Orange ،Telstra ،Telus ،Verizon و Vodafone را تحت تأثیر قرار داده است.

سواستفاده موفقیت آمیز توسط مهاجم می تواند موانع احراز هویت را دور بزند و به صورت بالقوه به اطلاعات از جمله توکن های درخواست معتبر، که می تواند برای ایجاد درخواست جهت تغییر تنظیمات روتر مورد استفاده قرار گیرد، دسترسی پیدا کند.

شرکت Juniper Threat Labs هفته گذشته اعلام کرد که “برخی از الگوهای حمله را که سعی می کنند از این آسیب پذیری در فضای سایبری از آدرس IP واقع در ووهان، استان هوبی کشور چین استفاده میکنند، شناسایی کرده است”. در این حملات که از ۵ آگوست شروع شده است، مهاجم از آن برای استقرار یک نوع از Mirai در روترهای آسیب دیده استفاده میکند. این حملات از تکنیک های مشابهی که توسط واحد ۴۲ Palo Alto Networks در اوایل ماه مارس آشکار شد، بهره میبرند.

محققان می گویند: “این شباهت می تواند نشان دهنده این نکته باشد که همان عاملان تهدید در پس این حمله جدید هستند و تلاش می کنند تا منابع نفوذ خود را با آسیب پذیری تازه دیگری ارتقا دهند”.

علاوه بر CVE -2021–۲۰۰۹۰، عاملان تهدید دست به حملاتی زدند که در آنها از تعدادی آسیب پذیری دیگر مانند موارد ذیل استفاده میشده است:

• CVE-2020-29557 (اجرای کد پیش احراز هویت از راه دور در دستگاه های D-Link DIR-825 R1)
• CVE-2021-1497 و CVE-2021-1498 (آسیب پذیری تزریق فرمان در Cisco HyperFlex HX)
• CVE-2021-31755 (آسیب پذیری سرریز بافر استک در Tenda AC11 که منجر به اجرای کد دلخواه می شود)
• CVE-2021-22502 (ایراد اجرای کد از راه دور در Micro Focus Operation Bridge Reporter)
• CVE-2021-22506 (آسیب پذیری نشت اطلاعات در Micro Focus Access Manager)

گزارش یونیت ۴۲ قبلاً شش مورد نقص امنیتی شناخته شده و سه مورد ناشناخته را کشف کرده بود که در حملات به مواردی مانند SonicWall SSL-VPN ، فایروال D-Link DNS-320 ، روترهای بی سیم Netis WF2419 و سوئیچ های Netgear ProSAFE Plus که مورد هدف قرار گرفته اند، تحت سواستفاده واقع شده بودند.

برای جلوگیری از هرگونه خطر احتمالی، به کاربران توصیه می شود فریمور روتر خود را به آخرین نسخه به روز نمایند.

محققان می گویند: “واضح است که بازیگران تهدید همه آسیب پذیری های فاش شده را زیر نظر دارند. هر زمان که یک PoC سواستفاده منتشر می شود، اغلب بازه زمانی بسیار کمی برای بهره گیری و ادغام آن آسیب پذیری در پلتفرم آنها و شروع حملات، نیاز است”.

14 جولای 2021

محققان امنیت سایبری نسبت به ادامه بازگشت بدافزار مخرب TrickBot به عرصه فضای سایبری هشدار داده و به صراحت اعلام کرده اند که گروه فراملی جرایم سایبری مستقر در روسیه در واکنش به تلاش های متقابل اخیر سازمان تامین امنیت، در پشت صحنه این بدافزار تلاش می کند تا زیرساخت های خود را برای حمله دوباره بهبود بخشیده و بازسازی کند.

کمپانی Bitdefender در یک مقاله فنی که روز دوشنبه منتشر شد که حاکی از افزایش پیچیدگی تاکتیکهای این گروه بود، بیان داشت: “از قابلیت های جدید کشف شده و با استفاده از یک پروتکل ارتباطی سفارشی برای پنهان کردن انتقال داده ها بین سرورها (command-and-control) و قربانیان، برای نظارت و جمع آوری اطلاعات مربوط به قربانیان استفاده می گردد که این مسئله تشخیص حملات را دشوار کرده است”.

محققان خاطرنشان کردند: “Trickbot هیچ نشانه ای از کاهش روند سرعت، از خود نشان نداده است”.

بات نت ها (Botnets) هنگامی تشکیل می شوند که صدها یا هزاران دستگاه هک شده در شبکه ای که توسط اپراتورهای خرابکار اداره می شود، مورد استفاده قرار گیرند و اغلب برای حملات denial-of-network به مشاغل و زیرساخت های مهم بوسیله ایجاد ترافیک جعلی با هدف غیر فعال کردن و آفلاین کردن آنها استفاده می شوند. از سویی با کنترل این دستگاه ها، عاملان مخرب همچنین می توانند از بات نت ها برای گسترش بدافزار و هرزنامه و یا استقرار باج افزار رمزگذاری فایل در رایانه های آلوده استفاده کنند.

بدافزار TrickBot نیز تفاوتی از این نظر ندارد. باند مشهور جرایم رایانه ای در پشت این عملیات قرار دارند (که Wizard Spider نامیده می شود) سابقه بهره برداری از تجهیزات های آلوده برای سرقت اطلاعات حساس، گردش جانبی در سراسر شبکه و حتی تبدیل شدن به یک لودر برای بدافزارهای دیگر مانند باج افزار را دارد؛ و در حالی این اقدامات را انجام میدهد که به طور توامان زنجیره آلودگی خود را با افزودن ماژول هایی با قابلیت جدید برای افزایش کارایی آن نیز گسترش می دهد.

آزمایشگاه Black Lotus لومن در اکتبر گذشته اعلام کرد: “TrickBot برای استفاده یک زیرساخت پیچیده ایجاد شده است که سرورهای شخص ثالث را به خطر می اندازد و از آنها برای میزبانی بدافزار استفاده می کند. این بدافزار همچنین وسایل مصرفی مانند روترهای DSL را آلوده میکند و اپراتورهای خرابکار آن به طور مداوم آدرس IP و میزبان آلوده خود را عوض میکنند تا با این اختلال امکان کشف جرم آنها تا حد ممکن دشوار شود”.

این بات نت از دو تلاش برای غیرفعالسازی مایکروسافت و فرماندهی سایبری ایالات متحده در حالی که اپراتورها در حال ساخت اجزای میان افزار بودند که می توانست به هکرها اجازه دهد یک backdoor در Unified Extensible Firmware Interface (UEFI) نصب کنند، فرار کرده است. و همچنین این امکان را برای آنها فراهم میکرد که از احتمال شناسایی توسط آنتی ویروس رهایی یافته، از بروزرسانی نرم افزار جلوگیری کنند و یا حتی سیستم عامل را بطور کامل پاک کنند و یا اینکه سیستم عامل رایانه را مجددا نصب نماید.

اکنون طبق گفته Bitdefender، عامل تهدید به طور فعال در حال توسعه یک نسخه به روز شده از یک ماژول به نام “vncDll” است که آن را در برابر اهداف با ویژگی های سطح بالا برای نظارت و جمع آوری اطلاعات به کار می برد. نسخه جدید نیز “tvncDll” نامگذاری شده است.

ماژول جدید برای برقراری ارتباط با یکی از نه سرور فرمان و کنترل (C2) تعریف شده در فایل پیکربندی آن استفاده شده است، و از آن برای بازیابی مجموعه ای از دستورات حمله، دانلود payload های بیشتر بدافزارها و بازگشت سیستم به عقب و سرور استفاده می شود. علاوه بر این، محققان گفته اند که آنها “ابزاری برای مشاهده” که مهاجمان برای ارتباط با قربانیان از طریق سرورهای C2 استفاده می کنند را شناسایی کردند.

گرچه تلاش برای از بین بردن عملیات این باند به طور کامل موفقیت آمیز نبوده است، اما مایکروسافت به دیلی بیست گفت که با ارائه دهندگان خدمات اینترنت (ISP) کار می کند تا خانه به خانه روترهای سازگار با بدافزار Trickbot در برزیل و آمریکای لاتین را جایگزین نماید؛ که این عمل باعث گردید که به طور موثری بدافزار Trickbot از زیرساخت های افغانستان خارج و بیرون رانده شود.