حمله سایبری گسترده روی تجهیزات سیسکو

بر اساس گزارش های امنیتی گروه  Cisco Talos در رابطه با حمله سایبری گسترده روی تجهیزات سیسکو در روز پنج شنبه ۱۶/۰۱/۱۳۹۶، وجود نقصی در سوئیچ های سیسکو(Cisco) این امکان را برای هکرها فراهم کرده تا زیرساخت های حیاتی بسیاری از کشورها را با حملات سایبری هدف قرار دهند. در این گزارش پیش بینی شده است که حدود ۱۶۸۰۰۰ سیستم ممکن است توسط این نقص تحت تاثیر قرار گیرد.

تیم Talos با استفاده از ابزار جستجو Shodan تخمین زدند که بیش از ۱۶۸۰۰۰ سیستم می تواند در معرض این حمله سایبری باشد. حال آنکه، در سال ۲۰۱۶، شرکت امنیتی سایبری Tenable اشاره کرد که حدود ۲۵۱،۰۰۰ کاربر از تجهیزات Cisco Smart Install Client استفاده می کنند.

با حمله سایبری گسترده به سوئیچ‌های سیسکو در دو روز گذشته، در بیش از ۱۸۰ کشور از جمله ایران، اختلال ارتباطاتی ایجاد شد و چندین دیتاسنتر هم‌زمان نظیر رسپینا و شاتل و… از کار افتاد.

بر اساس این گزارش، مهاجمان نقص موجود در حفره امنیتی موجود در پروتکل Cisco Smart Install Client  را هدف قرار داده اند. بر این اساس، پورت ۴۷۸۶ روی سوئیچ‌ها (مدل‌های ۲۹۶۰، ۴۵۰۰، ۳۸۵۰، ۳۷۵۰،۳۵۶۰، ۲۹۷۵) به صورت پیش فرض باز بوده و هکرها نیز از طریق این پورت حمله سایبری تعریف شده را انجام داده و سوئیچ‌ها را به حالت اولیه کارخانه (reset factory) بازگردادند.

اگر مدیران سرور تنظیمات لازم روی این پروتکل را پیکربندی نکرده و یا آن را خاموش نکرده باشند، نتیجه این حملات، منجر به هنگ نمودن سیستم شده و درواقع سیستم در پس زمینه، در انتظار ورود دستورات جدید خواهد بود.

دسترسی به سرور از طریق پروتکل Smart Install، منجر به اعمال تغییرات زیر خواهد شد:

– تنظیمات سرور TFTP

– تغییر در فایل های پیکربندی exfiltrate از طریق TFTP

– تغییر فایلهای پیکربندی و جایگزینی Image IOS

– تنظیم حساب های کاربری جدید جهت دسترسی به اجرای دستورات ISO

جهت بررسی اینکه Smart Install Client روی سیستم فعال می باشد یا خیر، می توانید از  دستور show show vstack config  استفاده کنید. بعنوان مثال:

switch#show vstack config | inc Role

Role: Client (SmartInstall enabled)

همچنین اکیدا توصیه می شود که لاگ های مربوطه را از لحاظ تغییراتی که اخیرا روی سیستم انجام شده، ریلود شدن دیوایس ها و… بررسی نمایید.

بر اساس این گزارش، ساده ترین راه جهت رفع این مشکل، اجرای دستور no vstack   روی دستگاه آسیب دیده می باشد.

در صورتی که این امکان نیز فراهم نباشد، توصیه می شود دسترسی های مجاز را از طریق لیست کنترل دسترسی (ACL) برای رابط کاربری، مشابه زیر محدود کنید.

ip access-list extended SMI_HARDENING_LIST

permit tcp host 10.10.10.1 host 10.10.10.200 eq 4786

deny tcp any any eq 4786

permit ip any any

پس از این قطعی گسترده بدلیل حمله سایبری، محمدجواد آذری جهرمی، وزیر ارتباطات و فناوری اطلاعات ایران با انتشار پست‌هایی در صفحه شخصی خود در توئیتر این حمله سایبری به برخی مراکز داده ایران را تأیید کرد. او همچنین در ساعات پایانی شب اعلام کرد که بیش از ۹۵ درصد مسیریاب‌های متاثر از حمله سایبری به حالت عادی بازگشتند و سرویس‌دهی را از سر گرفتند.