هشدار اف‌بی‌آی مبنی بر سوءاستفاده گروه هکری روسی از دستگاه‌های سیسکو

به گزارش کارگروه بین‌الملل سایبربان؛ طبق گزارش اف‌بی‌آی، یک گروه جاسوسی سایبری روسی به طور فزاینده‌ای از طریق آسیب‌پذیری کشف شده در سال ۲۰۱۸، دستگاه‌های شبکه سیسکو را که پچ نشده‌اند، هدف قرار می‌دهد.

براساس هشدارهای منتشر شده توسط اف‌بی‌آی و سیسکو تالوس (Cisco Talos)، مرکز ۱۶ سرویس امنیت فدرال روسیه (FSB) در حال سوءاستفاده از «CVE-2018-0171» در دستگاه‌هایی است که به وضعیت پایان عمر خود رسیده‌اند تا به سازمان‌هایی در بخش‌های مخابرات، آموزش عالی و تولید در سراسر آمریکای شمالی، آسیا، آفریقا و اروپا نفوذ کنند.

سیسکو تالوس اعلام کرد که گروه پشت این کمپین، که توسط کارشناسان امنیتی به عنوان «Static Tundra»، «Berserk Bear» یا «Dragonfly» شناخته می‌شود، سال‌ها با سوءاستفاده از آسیب‌پذیری موجود در ویژگی «Smart Install» نرم‌افزار «Cisco IOS» و «CISCO IOS XE» که پچ نشده، اغلب پس از پایان عمر این دستگاه‌ها، دستگاه‌های سیسکو را به خطر انداخته است.

به گفته سیسکو تالوس، بسیاری از قربانیان براساس منافع استراتژیک خود برای دولت روسیه انتخاب می‌شوند. برخی از آنها در اوکراین مستقر هستند. سیسکو تالوس هشدار داد که این گروه روسی احتمالاً با تغییر منافع استراتژیک خود، به هدف قرار دادن اوکراین و متحدانش ادامه خواهد داد.

کارشناسان گفتند:

«یکی از واضح‌ترین تغییرات هدف‌گیری که مشاهده کردیم این بود که عملیات Static Tundra علیه نهادهای اوکراینی در آغاز جنگ روسیه و اوکراین تشدید شد و از آن زمان تاکنون همچنان در سطح بالایی باقی مانده است. مشاهده شد که Static Tundra سازمان‌های اوکراینی را در چندین حوزه به خطر انداخته، برخلاف اقدامات محدودتر و گزینشی قبلی که معمولاً با این عامل تهدید مرتبط بودند.»

اف‌بی‌آی ادعا کرد که مقامات در طول سال گذشته شاهد افزایش جمع‌آوری فایل‌های پیکربندی هزاران دستگاه شبکه مرتبط با نهادهای آمریکایی در بخش‌های زیرساخت‌های حیاتی توسط این گروه بوده‌اند.

در برخی دستگاه‌ها، هکرها فایل‌های پیکربندی را تغییر داده‌اند تا دسترسی بیشتر به سیستم‌های قربانی را ممکن سازند. سپس عملیات شناسایی را انجام می‌دهند، که بسیاری از آنها بر پروتکل‌ها و برنامه‌هایی تمرکز دارند که معمولاً با سیستم‌های کنترل صنعتی مرتبط هستند.

اف‌بی‌آی ارزیابی سیسکو را تکرار کرد مبنی بر اینکه Status Tundra بیش از یک دهه سیستم‌های مشابهی را هدف قرار داده و ابزارهای سفارشی برای حمله به دستگاه‌های سیسکو، از جمله گونه‌ای از بدافزار به نام «SYNful Knock»، توسعه داده است.

سیسکو تالوس اسکریپتی منتشر کرد که می‌تواند برای اسکن و شناسایی ایمپلنت SYNful Knock استفاده شود.

چندی پیش، سرویس امنیتی پلیس نروژ (PST) اعلام کرد که مظنون است هکرهای طرفدار روسیه در ماه آوریل امسال سدی را در جنوب غربی این کشور خرابکاری، سیستم کنترل سد را نقض، شیرها را به مدت چهار ساعت باز و مقادیر زیادی آب را به رودخانه ریزلوا سرازیر کرده‌اند تا زمانی که اپراتورها کنترل را به دست گیرند.

بازی طولانی

به گفته سیسکو تالوس، هدف اصلی Static Tundra سرقت داده‌ها و ایجاد دسترسی مداوم به سیستم‌ها است؛ این گروه به دلیل توانایی خود در نفوذ بیشتر به شبکه قربانی و به خطر انداختن دستگاه‌های شبکه اضافی شناخته شده است که نشان دهنده توانایی دیرینه آن در حفظ دسترسی در محیط‌های هدف برای چندین سال بدون شناسایی شدن است. کارشناسان سیسکو تالوس عنوان کردند:

«ما معتقدیم که هدف این کمپین، نفوذ و استخراج انبوه اطلاعات پیکربندی دستگاه است که بعداً می‌تواند در صورت نیاز براساس اهداف استراتژیک و منافع فعلی دولت روسیه مورد استفاده قرار گیرد. این موضوع با سازگاری و تغییر در تمرکز عملیاتی Static Tundra با تغییر اولویت‌های روسیه در طول زمان نشان داده شده است.»

محققان توضیح دادند که Static Tundra احتمالاً از سرویس‌هایی مانند شودان (Shodan) و سِنسیس (Censys) برای یافتن قربانیان استفاده می‌کند.

در سال 2021، وزارت دادگستری ایالات متحده 4 تبعه روس را به عضویت در Static Tundra و رهبری یک کمپین هک گسترده علیه شرکت‌های انرژی در سراسر جهان متهم کرد.

این افراد به طور خاص مجموعه‌ای از سیستم‌های فناوری صنعتی را هدف قرار دادند. گفته می‌شود که آنها از سال 2012 تا 2014، قبل از پنهان کردن بدافزار «Havex» داخل شبکه‌ها، چندین تولیدکننده سیستم کنترل صنعتی و ارائه‌دهنده نرم‌افزار را به خطر انداخته‌اند.

وزارت دادگستری آمریکا ادعا کرد که بین سال‌های 2014 تا 2017 این گروه به دنبال نهادهای خاص بخش انرژی و افراد و مهندسانی بودند که با سیستم‌های [صنعتی] کار می‌کردند. این حملات بیش از ۳۳۰۰ کاربر را در حدود ۵۰۰ شرکت و نهاد آمریکایی و بین‌المللی و همچنین سازمان‌های دولتی مانند کمیسیون تنظیم مقررات هسته‌ای هدف قرار داد.

بنابر ادعای کارشناسان غربی، این گروه در به خطر انداختن سیستم‌های تجاری شرکت عملیاتی هسته‌ای ولف کریک در برلینگتون، کانزاس، از طریق فیشینگ هدفمند موفق بود. آنها همچنین با استفاده از حملات «watering hole»، که اعتبارنامه‌های ورود مهندسان بخش انرژی را از طریق وب‌سایت‌های به خطر افتاده به دست می‌آورد، به موفقیت دست یافتند.

به طور کلی، کمپین‌های آنها افرادی را در بیش از ۱۳۶ کشور هدف قرار داده‌اند.

سیسکو تالوس خاطرنشان کرد که فقط عوامل روسی از این اشکال سوءاستفاده نمی‌کنند، بلکه سایر گروه‌های تحت حمایت دولت احتمالاً کمپین‌های مشابهی را برای به خطر انداختن دستگاه‌های شبکه انجام می‌دهند.

آنها از مشتریان خواستند که پچ مربوط به آسیب‌پذیری را اعمال و Smart Install را غیرفعال کنند یا برای کمک با آنها تماس بگیرند.