به گزارش پایگاه تحلیلی خبری بانک و صنعت، شب گذشته (هفدهم فروردین) برخی سرویس‌ها و وبسایت‌های مهم کشور به دلیل بروز مشکل در مرکز داده (دیتاسنتر) افرانت، شاتل، صبانت از دسترس خارج شدند.
در این پیوند کارشناس مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه‌ای کشور گفت: اکنون در لایه سرویس دهنده های عمده و بزرگ کشور وضعیت تجهیزات مورد حمله سایبری به حالت عادی برگشته و اقدام های بیشتر همچنان درحال انجام است.
مهدی موسوی افزود: ساعت های 20 و 21 شب گذشته این مرکز در جریان مشکل پیش آمده برای وب سایت ها و سرویس دهنده های عمده کشور قرار گرفت.
موسوی ادامه داد: مرکز ماهر با همکاری مراکز داده افرانت، شاتل و صبانت بررسی خود را آغاز کرد و در این بررسی ها مشخص شد که مهاجم یا مهاجمان به صورت وسیع کشورمان را مورد حمله قرار داده اند.
وی خاطر نشان ساخت: به دنبال مشخص شدن این موضوع، تلاش ها برای کنترل حملات با همکاری سرویس دهنده های عمده و بزرگ کشور آغاز شد و با اقدام های به موقعی که انجام شد، از بامداد امروز (18 فروردین) مراکز داده ای که مورد حمله قرار گرفته بودند، به وضعیت عادی خود برگشته و آماده سرویس دهی شده اند.
موسوی اذعان داشت: هدف حمله ها تجهیزات شرکت سیسکو (Cisco) بوده که آسیب دیده و از این طریق کشورمان نیز آسیب دیده است.
این کارشناس درباره میزان آسیب های وارده نیز گفت: بررسی ها در این زمینه درحال انجام است و به زودی اطلاع رسانی خواهد شد.
همچنین مرکز ماهر در باره این حمله ها اطلاعیه ای صادر کرده که در بخش هایی از آن آمده است: به دنبال اختلال های سراسری در سرویس اینترنت و سرویس های مراکز داده داخلی در ساعت حدود 20:15 شامگاه 17 فروردین، بررسی و رسیدگی فنی به موضوع انجام پذیرفت که در بررسی نخستین مشخص شد این حملات شامل تجهیزات روتر و سوئیچ متعدد شرکت سیسکو بوده که تنظیمات این تجهیزات مورد حمله قرار گرفته و همه پیکربندی های این تجهیزات (شامل running-config و startup-config) حذف شده است.
در ادامه اطلاعیه قید شده است: در موارد بررسی شده پیغامی با این مضمون در قالب startup-config مشاهده شد که دلیل اصلی مشکل، وجود حفره امنیتی در ویژگی smart install client تجهیزات سیسکو است و هر سیستم عاملی که این ویژگی روی آن فعال باشد، در معرض آسیب پذیری مذکور قرار داشته و مهاجمان می توانند با استفاده از اکسپلویت منتشر شده نسبت به اجرای کد از راه دور روی روتر/سوئیچ اقدام کنند.
مرکز ماهر در اطلاعیه خود تاکید کرده است: لازم است مدیران سیستم با استفاده از دستور «no vstack» نسبت به غیرفعال سازی قابلیت فوق (که مورد استفاده نیز قرار ندارد) روی سوئیچ ها و روترهای خود اقدام کنند، همچنین بستن پورت 4786 در لبه شبکه نیز توصیه می شود.
در ادامه آمده است: در صورت نیاز به استفاده از ویژگی smart install، لازم است بروزرسانی به آخرین نسخه های پیشنهادی شرکت سیسکو صورت پذیرد.
در این راستا به محض شناسایی عامل این رخداد، دسترسی به پورت مورد استفاده توسط اکسپلویت این آسیب پذیری در لبه شبکه زیرساخت کشور و همچنین همه سرویس دهنده های عمده اینترنت کشور مسدود شدند.
در اطلاعیه ذکر شده است: سرویس دهی شرکت ها و مراکز داده بزرگ از جمله افرانت، آسیا تک، شاتل، پارس آنلاین و رسپینا بصورت کامل به حالت عادی بازگشته و اقدام های لازم برای پیشگیری از تکرار رخداد مشابه انجام شده است.
در اطلاعیه مرکز ماهر قید شده است: متاسفانه ارتباط دیتاسنتر میزبان وب سایت مرکز ماهر نیز دچار مشکل شده بود که در ساعت 4 بامداد مشکل رفع شد. همچنین پیش بینی می شود که با آغاز ساعت کاری سازمان ها، ادارات و شرکت ها، شمار قابل توجهی از این مراکز متوجه وقوع اختلال در سرویس شبکه داخلی خود شوند لذا مدیران سیستم های آسیب دیده لازم است اقدام با استفاده از کپی پشتیبان قبلی، اقدام به راه اندازی مجدد تجهیز خود کنند یا در صورت نبود کپی پشتیبان، راه اندازی و تنظیم تجهیز مجدد انجام پذیرد.
بر اساس این اطلاعیه، لازم است قابلیت آسیب پذیر smart install client با اجرای دستور no vstack غیر فعال شود.
همچنین لازم است این تنظیم روی همه تجهیزات روتر و سوئیچ سیسکو (حتی تجهیزاتی که آسیب ندیده اند) انجام گیرد رمز عبور قبلی تجهیز تغییر داده شود. توصیه می شود در روتر لبه شبکه با استفاده از ACL ترافیک ورودی 4786 TCP نیز مسدود شود.
اطلاعیه مرکز ماهر تاکید کرده است: گزارش های تکمیلی در رابطه با این آسیب پذیری و ابعاد تاثیرگذاری آن در کشور و سایر نقاط جهان توسط این مرکز منتشر خواهد شد.
شرکت سیسکو نیز در اطلاعیه جداگانه ای درباره این حمله سایبری در اطلاعیه ای نوشت: نقص حیاتی در سوئیچ های سیسکو باعث حمله هکرها به زیرساخت‌های مهم در چندین کشور از جمله ایران شده و بسیاری از سایت های اینترنتی را از دسترس خارج کرده است؛ این حمله سایبری حدود 168 هزار سیستم را تحت تاثیر خود قرار داده است.
بر اساس این گزارش، مهاجمان یک پروتکل را همراه Cisco Smart Install Client (نصب هوشمند سیسکو) مورد حمله سایبری قرار داده‌اند. اگر یک کاربر نصب هوشمند سیسکو را غیرفعال یا آن را پیکربنده نکرده باشد، آن در پس زمینه هنگ کرده و منتظر دستورات خواهد ماند.
محمدجواد آذری جهرمی وزیر ارتباطات و فناوری اطلاعات شب گذشته درباره این موضوع در صفحه توئیتر خود نوشت: «امشب برخی از مراکز داده کشور با حمله سایبری مواجه شده‌اند. تعدادی از مسیریاب های کوچک به تنظیمات کارخانه‌ای تغییر یافته‌اند. مرکز ماهر به یاری این مراکز داده، حمله را کنترل و در حال اصلاح شبکه‌های آنان به حالت طبیعی هستند. تلاش ها برای ناامن جلوه دادن‌ها یک فرصت برای اصلاح اشکالهاست.»
منبع: ایرنا
