دانش و فناوری

نفوذ هکرها به هزاران رایانه با سوء‌ استفاده از ابزار نفوذ NSA

نفوذ هکرها به هزاران رایانه با سوء‌ استفاده از ابزار نفوذ NSA

نشر ابزار نفوذ آژانس امنیت ملی آمریکا، همچنان دست آویز هکرها برای نفوذ و بهره برداری غیرمجاز از میلیون ها رایانه در جهان می باشد.

یک سال پس از آلودگی ده ها هزار کامپیوتر ویندوزی به ابزار نفوذ آژانس امنیت ملی آمریکا و ارائه ی بسته های تکمیلی و اصلاحی لازم برای دفع اثرات منفی آن، در حال حاضر وصله ی تکمیلی هزاران رایانه حذف شده است و این دستگاه ها به حال آسیب پذیر قبلی بازگشته اند.

در آغاز برای باج گیری از ابزار یادشده استفاده می شد و بعد هم سوء استفاده از رایانه ها برای ماینینگ، نتیجه ی انتشار این ابزار بود؛ اما پژوهشگران می گویند اکنون سوء استفاده ی بزرگتری از ابزار NSA شده و آن هم تشکیل یک شبکه نیابتی (Proxy Network) بزرگ برای اجرای طیفی از اقدامات مخرب است.

طبق یافته های یک شرکت برجسته و شناخته شده ی آمریکایی در حوزه ی امنیت به نام آکامای (Akamai)، نقطه ی آسیب پذیری UPnProxy که از همان پروتکل شبکه Plug and Play سوء استفاده می کند، اکنون می تواند رایانه هایی را که پچ تکمیلی آن ها حذف شده است، حتی از پشت فایروال هدف قرارداده و به آن ها نفوذ کند.

مهجمان غالباً از UPnProxy برای بازنشانی و پیکربندی مجدد تنظمیات انطباق درگاه ها (Port Mapping) در یک مسیریاب آلوده استفاده می کردند تا بعضاً با هدایت ترافیک ساختگی، زمینه را برای حمله ی DOS به یک نقطه ی خاص فراهم کرده یا بدافزار و هرزنامه پخش کنند، این نوع حمله اغلب ناموفق بود، چراکه شمار زیادی از کامپیوترها در این شبکه ها پشت NAT بودند.

اما آکامای معتقد است، این بار هکرها از ابزار نفوذ قوی NSA برای فریب دادن مسیریاب و دستیابی به کامپیوترهای پشت آن، استفاده می کنند، این کار محدوده ی نفوذ و تسلط مهاجم را گسترده تر کرده و شبکه آلوده را هم بزرگتر و خطرناک تر می کند. چاد سیمن (Chad Seaman) مهندس شرکت آکامای که گزارش این حملات را منتشر کرده است، می گوید:

متاسفم از اینکه UPnProxy تبدیل به معبری برای نفوذ هکرها به سیستم های پشت NAT شده است، اما دیر یا زود این اتفاق باید رخ می داد.

دو ابزار، واسطه ی این رخنه ها هستند: یکی EternalBlue که در حقیقت راه نفوذی مخفی و اختصاصی است که توسط NSA برای راهیابی مستقیم به سیستم های ویندوزی توسعه داده شده است و همزادش EternalRad که کار مشابه را با پلتفرم های لینوکسی می کند و دراصل توسط همان بنیانگذار Samba (نرم افزار راه انداز پروتکل SMB) توسعه داده شده است.

وقتی UPnProxy سازوکار انطباق درگاه های یک مسیریاب آسیب پذیر را مختل کرد، این دو ابزار، دسترسی به رایانه ی هدف را از محل درگاه های مربوط به SMB (پروتکلی که مربوط به اشتراک گذاری فایل ها و پرینترها است و درحال حاضر مورد استفاده ی اکثر رایانه ها قرار می گیرد)، فراهم می کنند.

آکامای اسم این حمله را که به شدت دامنه ی کامپیوترهای آلوده را گسترش داده و آن ها را تبدیل به عضو اجیر شده ی شبکه تحت کنترل مهاجمین می کند، سکوت ابدی (EternalSilence) می نامد، طبق اعلام این شرکت بیش از ۴۵۰۰۰ سیستم تاکنون در این شبکه آسیب دیده اند و بیش از یک میلیون سیستم دیگر هم بالقوه پذیرش این نفوذ هستند.

نفوذ هکرها به هزاران رایانه با سوء‌ استفاده از ابزار نفوذ NSA
نفوذ هکرها به هزاران رایانه با سوء‌ استفاده از ابزار نفوذ NSA

سیمن می گوید:

این رخداد حمله به یک نقطه خاص نیست، بلکه تلاشی است تا با استفاده از یک ابزار نفوذ تست شده و آماده، توان پردازشی تعداد زیادی از رایانه ها را تجمیع کرده و یک استخر ماینینگ ایجاد کنند.

نفوذ این بدافزارها بسیار پیچیده بوده و شناسایی آن بسیار مشکل است تا حدی که مدیران شبکه ها و سیستم ها به راحتی نمی توانند از آلوده شدن سیستم هایشان مطلع شوند. گفته می شود با وجود اینکه بیش از یک سال است که پچ های لازم برای دفع EternalBlue و EternalRad ارائه شده اند، لیکن تاکنون میلیون ها سیستم این پچ ها را ندارند و به شدت آسیب پذیرند.

شمار سیستم های آسیب پذیر در حال کاهش است، با این وجود سیمن باور دارد:

درگیر کردن بدافزارهای NSA، شاید آخرین حربه ی هکرها از محل قابلیت های جدید مکانیزم UPnProxy برای به دست گرفتن کنترل سیستم هایی محسوب می شود که پچ آن ها برداشته شده یا تاکنون دسترسی به آن ها میسر نبوده است.

تولید و ارائه ی دیرهنگام بسته های تکمیلی جدید برای دفع حملات این بدافزارهای Eternal بهتر از هرگز ارائه نشدن آن ها است؛ اما این اصلاً بدان معنی نیست که با چنین پچ هایی کار بدافزارهای مورد بحث هم تمام است. حتی اگر کلا پروتکل UPnP را غیرفعال کنیم باز مشکل کاملاً حل نشده است. سیمن مثال جالبی می آورد:

حتی اگر همه ی سرنشینان را سوار قایق نجات کنیم، باز کاری برای جلوگیری از غرق شدن کشتی نکرده ایم.

بازنشانی و راه اندازی مجدد مسیریاب و غیرفعال کردن پروتکل UPnP یک راهکار متصور است، اما سیمن  که باید اصلاً مسیریاب به کلی تعویض شود.

نظر شما

instagram default popup image round
Follow Me
502k 100k 3 month ago
Share