جزییات حمله سایبری دیشب

رئیس مرکز تشخیص سایبری با اشاره به حملات سایبری رخ داده در شب گذشته با اعلام حل نسبی اختلالات ناشی از این حمله سایبری گفت که هیچ دسترسی غیرمجازی به اطلاعات شهروندان اتفاق نیفتاده است.

به گزارش ایتنا از ایسنا، سرهنگ علی نیک‌نفس – رئیس مرکز تشخیص سایبری – با اشاره به حمله سایبری شب گذشته اظهار کرد: این حملات ناشی از آسیب‌پذیری در قابلیت پیکربندی راه دور تجهیزات سیسکو بوده است. این آسیب‌پذیری حدود ۱۰ روز قبل توسط این شرکت اعلام و رسانه‌ای شده بود که اطلاعات آن در سایت پلیس فتا و مرکز ماهر موجود است.
وی با بیان اینکه مشکلی که به وجود آمده، صرفا به خاطر از کار افتادن سوئیچ‌های در شبکه‌هاست تصریح کرد: طبیعی است این اختلال قطعی و کندی اینترنت را برای کاربران شرکت‌ها در پی داشته است اما هیچ نوع دسترسی غیرمجاز و یا نشر اطلاعات رخ نداده است و از این جهت جای نگرانی وجود ندارد.

رئیس مرکز تشخیص سایبری که در یک برنامه تلویزیونی سخن می‌گفت، با بیان اینکه این شرکت‌ها باید سعی کنند تا اختلالات موجود را حل کنند، گفت: این اختلالات حل شده و تا حدی روی سرویس‌های اصلی اینترنتی کشور برطرف شده است اما با توجه به ساعات ابتدایی کاری این هفته برخی از شرکت‌ها احتمالا متوجه اختلالات در شبکه خود خواهند شد که باید نسبت به آسیب‌پذیری و رفع مشکل اقدام کنند.

در همین ارتباط مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه‌ای (ماهر) اطلاعیه‌ای منتشر و اعلام کرده است که  در پی بروز اختلالات سراسری در سرویس اینترنت و سرویس‌های مراکز داده داخلی در ساعت حدود 20:15 در تاریخ هفدهم فروردین ماه 97 بررسی و رسیدگی فنی به موضوع انجام و مشخص شد این حملات شامل تجهیزات روتر و سوئیچ متعدد شرکت سیسکو بوده که تنظیمات این تجهیزات مورد حمله قرار گرفته و کلیه پیکربندی های این تجهیزات (شامل running-config و startup-config) حذف گردیده است.

در موارد بررسی شده پیغامی با این مضمون در غالب startup-config مشاهده گردید:
دلیل اصلی مشکل، وجود حفره امنیتی در ویژگی smart install client تجهیزات سیسکو بوده و هر سیستم عاملی که این ویژگی بر روی آن فعال باشد در معرض آسیب پذیری مذکور قرار داشته و مهاجمین می توانند با استفاده از اکسپلویت منتشر شده نسبت به اجرای کد از راه دور بر روی روتر/سوئیچ اقدام کنند.

لازم است مدیران سیستم با استفاده از دستور “no vstack” نسبت به غیرفعال سازی قابلیت فوق (که عموما مورد استفاده نیز قرار ندارد) بر روی سوئیچ ها و روترهای خود اقدام کنند، همچنین بستن پورت 4786 در لبه‌ی شبکه نیز توصیه می شود. در صورت نیاز به استفاده از ویژگی smart install، لازم است به‌روزرسانی به آخرین نسخه‌های پیشنهادی شرکت سیسکو صورت پذیرد.

محتوای قرار گرفته در تنظیمات startup-config روترهای آسیب دیده به شرح زیر است:
جزییات فنی این آسیب پذیری و نحوه ی برطرف سازی آن در منابع زیر آمده است: https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20170214-smi https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20180328-smi2#fixed
در این راستا به محض شناسایی عامل این رخداد، دسترسی به پورت مورد استفاده توسط اکسپلویت این آسیب پذیری در لبه شبکه زیرساخت کشور و همچنین کلیه سرویس دهنده های عمده ی اینترنت کشور مسدود شد.

ماهر اعلام کرده است که تا این لحظه، سرویس دهی شرکت ها و مراکز داده بزرگ از جمله افرانت، آسیا تک، شاتل، پارس آنلاین و رسپینا بصورت کامل به حالت عادی بازگشته و اقدامات لازم جهت پیشگیری از تکرار رخداد مشابه انجام شده است.

همچنین لازم به توضیح است متاسفانه ارتباط دیتاسنتر میزبان وب سایت مرکز ماهر نیز دچار مشکل شده بود که در ساعت ۴ بامداد مشکل حل شد. همچنین پیش‌بینی می شود که با آغاز ساعت کاری سازمان ها، ادارات و شرکت ها، شمار قابل توجهی از این مراکز متوجه وقوع اختلال در سرویس شبکه داخلی خود شوند. لذا مدیران سیستم های آسیب دیده لازم است اقدامات زیر را انجام دهند: با استفاده از کپی پشتیبان قبلی، اقدام به راه اندازی مجدد تجهیز خود کنند یا در صورت عدم وجود کپی پشتیبان، راه اندازی و تنظیم تجهیز مجددا انجام پذیرد.

قابلیت آسیب‌پذیر smart install client را با اجرای دستور “no vstack” غیر فعال گردد. لازم است این تنظیم برروی همه تجهیزات روتر و سوئیچ سیسکو (حتی تجهیزاتی که آسیب ندیده اند) انجام شود و رمز عبور قبلی تجهیز تغییر داده شود.

مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای (ماهر) در پایان توصیه کرده است که در روتر لبه شبکه با استفاده از ACL ترافیک ورودی 4786 TCP نیز مسدود شود. ضمن اینکه متعاقباً گزارشات تکمیلی در رابطه با این آسیب پذیری و ابعاد تاثیرگذاری آن در کشور و سایر نقاط جهان را منتشر خواهد کرد.
شب گذشته وزیر ارتباطات و فناوری اطلاعات با انتشار توئیتی از حمله گسترده به برخی مراکز داده کشور خبر داد.

محمد جواد آذری جهرمی در توییت خود آورده بود: برخی مراکز داده کشور با حمله سایبری مواجه شده‌اند. تعدادی از مسیریاب‌های کوچک به تنظیمات کارخانه‌ای تغییر یافته‌اند. مرکز ماهر با یاری رساندن به این مراکز داده حمله را کنترل و در حال اصلاح شبکه‌های آنان و برگرداندن وضعیت به حالت طبیعی است.

تلاش‌ها برای نا امن جلوه دادن ها یک فرصت برای اصلاح اشکال‌هاست.
آذری جهرمی همچنین در توئیت دیگری دامنه این حملات را فراتر از ایران اعلام کرده و ادامه داده است: منشا حملات در دست بررسی است. تا کنون بیش از ۹۵ درصد مسیر یاب های متاثر از حمله به حالت عادی بازگشته‌ و سرویس دهی خود را از سر گرفته‌اند.

منبع : ایتنا