حمله سایبری گسترده روی تجهیزات سیسکو

بر اساس گزارش های امنیتی گروه  Cisco Talos در رابطه با حمله سایبری گسترده روی تجهیزات سیسکو در روز پنج شنبه 16/01/1396، وجود نقصی در سوئیچ های سیسکو(Cisco) این امکان را برای هکرها فراهم کرده تا زیرساخت های حیاتی بسیاری از کشورها را با حملات سایبری هدف قرار دهند. در این گزارش پیش بینی شده است که حدود 168000 سیستم ممکن است توسط این نقص تحت تاثیر قرار گیرد.

تیم Talos با استفاده از ابزار جستجو Shodan تخمین زدند که بیش از 168000 سیستم می تواند در معرض این حمله سایبری باشد. حال آنکه، در سال 2016، شرکت امنیتی سایبری Tenable اشاره کرد که حدود 251،000 کاربر از تجهیزات Cisco Smart Install Client استفاده می کنند.

با حمله سایبری گسترده به سوئیچ‌های سیسکو در دو روز گذشته، در بیش از 180 کشور از جمله ایران، اختلال ارتباطاتی ایجاد شد و چندین دیتاسنتر هم‌زمان نظیر رسپینا و شاتل و… از کار افتاد.

بر اساس این گزارش، مهاجمان نقص موجود در حفره امنیتی موجود در پروتکل Cisco Smart Install Client  را هدف قرار داده اند. بر این اساس، پورت 4786 روی سوئیچ‌ها (مدل‌های 2960، 4500، 3850، 3750،3560، 2975) به صورت پیش فرض باز بوده و هکرها نیز از طریق این پورت حمله سایبری تعریف شده را انجام داده و سوئیچ‌ها را به حالت اولیه کارخانه (reset factory) بازگردادند.

اگر مدیران سرور تنظیمات لازم روی این پروتکل را پیکربندی نکرده و یا آن را خاموش نکرده باشند، نتیجه این حملات، منجر به هنگ نمودن سیستم شده و درواقع سیستم در پس زمینه، در انتظار ورود دستورات جدید خواهد بود.

دسترسی به سرور از طریق پروتکل Smart Install، منجر به اعمال تغییرات زیر خواهد شد:

– تنظیمات سرور TFTP

– تغییر در فایل های پیکربندی exfiltrate از طریق TFTP

– تغییر فایلهای پیکربندی و جایگزینی Image IOS

– تنظیم حساب های کاربری جدید جهت دسترسی به اجرای دستورات ISO

جهت بررسی اینکه Smart Install Client روی سیستم فعال می باشد یا خیر، می توانید از  دستور show show vstack config  استفاده کنید. بعنوان مثال:

switch#show vstack config | inc Role
Role: Client (SmartInstall enabled)

همچنین اکیدا توصیه می شود که لاگ های مربوطه را از لحاظ تغییراتی که اخیرا روی سیستم انجام شده، ریلود شدن دیوایس ها و… بررسی نمایید.

بر اساس این گزارش، ساده ترین راه جهت رفع این مشکل، اجرای دستور no vstack   روی دستگاه آسیب دیده می باشد.

در صورتی که این امکان نیز فراهم نباشد، توصیه می شود دسترسی های مجاز را از طریق لیست کنترل دسترسی (ACL) برای رابط کاربری، مشابه زیر محدود کنید.

ip access-list extended SMI_HARDENING_LIST
permit tcp host 10.10.10.1 host 10.10.10.200 eq 4786
deny tcp any any eq 4786
permit ip any any

پس از این قطعی گسترده بدلیل حمله سایبری، محمدجواد آذری جهرمی، وزیر ارتباطات و فناوری اطلاعات ایران با انتشار پست‌هایی در صفحه شخصی خود در توئیتر این حمله سایبری به برخی مراکز داده ایران را تأیید کرد. او همچنین در ساعات پایانی شب اعلام کرد که بیش از 95 درصد مسیریاب‌های متاثر از حمله سایبری به حالت عادی بازگشتند و سرویس‌دهی را از سر گرفتند.

در صورتی که مقاله فوق مورد توجه شما قرار گرفته پیشنهاد میکنیم مقالات “آموزش کار با دستور cp در لینوکس برای کپی کردن فایل و پوشه ها” و ”هاست لینوکس چیست ؟ ۴ مزایای هاست لینوکس” در بلاگ مرواهاست مطالعه فرمایید