آلوده شدن روترهای تی پی لینک با یک بات‌نت جدید و ناشناخته

به گزارش کارگروه امنیت خبرگزاری سایبربان، محققان شرکت امنیت سایبری کاتو نتوورکس (Cato Networks) اعلام کردند که در جریان بررسی آسیب‌پذیری‌های روترها، متوجه شدند این بات‌نت در حال آلوده کردن روترهای تی پی لینک آرچر (TP-Link Archer) است.

هکری که پشت این بدافزار قرار دارد و به عقیده محققان در ایتالیا مستقر است، از یک آسیب‌پذیری در فریمور، با شناسه CVE-2023-1389، سوءاستفاده کرده است.

این آسیب‌پذیری به بات‌نت اجازه می‌دهد به‌صورت خودکار از طریق اینترنت گسترش یابد و روترهای تی پی لینک که به‌روزرسانی نشده‌اند را آلوده کند.

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) قبلاً تأیید کرده بود که این آسیب‌پذیری به‌طور فعال در حال سوءاستفاده است و از سازمان‌های غیرنظامی آمریکایی خواسته بود که آن را اصلاح کنند.

این آسیب‌پذیری و وصله امنیتی آن، مدل‌های تی پی لینک AX21 یا AX1800 را هدف قرار می‌دهد.

اوفک واردی، مهندس امنیت در شرکت کاتو نتوورکس بیان کرد که محققان تا حدودی مطمئن هستند که هکر در ایتالیا قرار دارد، زیرا آدرس آی پی سرور فرمان و کنترل (C2) به آنجا اشاره دارد و همچنین رشته‌های زبان ایتالیایی در کد بدافزار یافت شده است.

ماتان میتلمن، رهبر تیم پیشگیری از تهدید در کاتو نتوورکس، اظهار داشت:

ما مشکوک هستیم که این کمپین را در مراحل اولیه‌اش شناسایی کرده‌ایم. شاهد تکامل آن بودیم؛ زیرا در یک بازه زمانی کوتاه، مهاجم روش آلوده‌سازی اولیه را تغییر داد تا از طریق شبکه تور (Tor) ارتباطات مخفیانه‌تری با سرور فرمان و کنترل برقرار کند. این بدافزار به مهاجم اجازه می‌دهد دستورات دلخواه را روی دستگاه‌های آلوده اجرا کند که نشان می‌دهد هدف سازنده بدافزار فراتر از ایجاد یک بات‌نت معمولی برای حملات منع سرویس (DDoS) است.

تیم امنیتی کاتو نتوورکس این کمپین را در ۱۰ ژانویه شناسایی کرد و در طول چند هفته شاهد تلاش‌های متعددی برای دسترسی اولیه بود، که آخرین مورد در ۱۷ فوریه مشاهده شد.

واردی خاطرنشان کرد که این بدافزار به‌گونه‌ای نوشته شده است که قابلیت‌های جدیدی را می‌توان به نسخه‌های بعدی آن اضافه کرد.

محققان از اظهار نظر درباره اینکه آیا مقامات ایتالیایی یا اروپایی از این تهدید مطلع شده‌اند، خودداری کردند.

کاتو نتوورکس اعلام کرد که این بات‌نت را بالیستا (Ballista) نام‌گذاری کرده‌اند که اشاره‌ای به یک سلاح باستانی رومی دارد.

این بات‌نت تاکنون سازمان‌های تولیدی، مراقبت‌های بهداشتی، خدماتی و فناوری در ایالات متحده، استرالیا، چین و مکزیک را هدف قرار داده است.

جست‌وجو در پلتفرم امنیت سایبری سنسیس (Censys) نشان داده است که بیش از ۶ هزار دستگاه آسیب‌پذیر همچنان به اینترنت متصل هستند و بات‌نت همچنان فعال است.

بدافزار کنترل کامل دستگاه را در اختیار می‌گیرد، فایل‌های پیکربندی سیستم را می‌خواند، لینک‌های رمزگذاری‌شده ایجاد می‌کند و سپس تلاش می‌کند با بهره‌برداری از CVE-2023-1389 به دستگاه‌های دیگر سرایت کند.

کاتو نتوورکس همچنین شواهدی یافته است که نشان می‌دهد مهاجم ممکن است ابزارهایی را برای سرقت داده از شبکه‌های آلوده مستقر کرده باشد.

محققان اشاره کردند که آدرس آی پی مرتبط با مهاجم دیگر پاسخ نمی‌دهد، اما نسخه جدیدی از بدافزار در مخزن کد گیتهاب (GitHub) یافت شده است و این امر نشان‌دهنده افزایش سطح پیچیدگی این کمپین توسط مهاجم است.

اگرچه این نمونه بدافزار شباهت‌هایی با بات‌نت‌های دیگر دارد، اما با نمونه‌های معروفی مانند میرای (Mirai) و موزی (Mozi) متفاوت است.

واردی و میتلمن هشدار دادند که یافته‌های آن‌ها نشان می‌دهد چرا دستگاه‌های اینترنت اشیا (IoT) مانند روترها به‌طور مداوم هدف هکرهای مخرب قرار می‌گیرند.

آنها اظهار کردند:

روترها اغلب رمزهای عبور ضعیفی دارند و به‌طور مناسب نگهداری نمی‌شوند. اکثر آن‌ها به‌روزرسانی‌های امنیتی خودکار ندارند و برای ماه‌ها یا حتی سال‌ها در برابر آسیب‌پذیری‌ها بی‌دفاع می‌مانند. در طول سال‌ها، بات‌نت‌های بزرگی مانند میرای و موزی نشان داده‌اند که روترها چقدر راحت می‌توانند به کنترل مهاجمان درآیند و هکرها این موضوع را به‌خوبی متوجه شده‌اند. دو عامل کلیدی به نفع آن‌ها بوده است؛ اول اینکه کاربران به‌ندرت فریمور روترهای خود را به‌روزرسانی می‌کنند، و دوم تولیدکنندگان روترها اغلب اهمیت کمی برای امنیت قائل هستند.

در ماه‌های اخیر، مقامات آمریکایی هشدارهایی درباره روترهای تی پی لینک منتشر کرده‌اند، زیرا بارها هکرهای چینی از این دستگاه‌ها برای نفوذ به شرکت‌های مخابراتی و زیرساخت‌های حیاتی استفاده کرده‌اند.

سال‌هاست که آسیب‌پذیری‌های حیاتی در روترهای تی پی لینک توسط هکرها مورد سوءاستفاده قرار گرفته‌اند تا حملات بعدی خود را پنهان کنند یا آن‌ها را به بات‌نت‌های قدرتمند برای ایجاد ترافیک مخرب و از کار انداختن وب‌سایت‌ها اضافه کنند.

روزنامه وال استریت ژورنال در دسامبر گزارش داد که آژانس‌های آمریکایی در حال بررسی احتمال ممنوعیت فروش دستگاه‌های تی پی لینک در ایالات متحده هستند.