کشف ۴ آسیب پذیری در اکسچنج
در هفته جاری یک گروه هکری چینی به نام HAFNIUM برای هدف قرار دادن سازمان های مختلف آمریکا از چهار آسیب پذیری روز صفر در Microsoft Exchange برای دسترسی و سپس سرقت محتوای Mailbox کاربران استفاده کرده است. ضروریست مدیران شبکه گرامی سریعا تا قبل از نصب وصله ها پورت ۴۴۳ Exchange را بر روی اینترنت محدود کرده و وصله های مربوطه را نصب نمایند. طبق برخی اخبار منتشر شده ۳۰.۰۰۰ سازمان و شرکت آمریکایی به خاطر آسیب پذیری CVE-۲۰۲۱-۲۶۸۵۵ در اکسچنج هک شده اند. گزارش ها حاکی از هک شدن چندین شرکت و سازمان ایرانی هم به چشم میخورد. لابراتوآر ویروس شناسی کامیران نیز شواهدی بر این اساس را یافته است.▪️ لیست این آسیب پذیری ها بدین شرح است :
CVE-۲۰۲۱-۲۶۸۵۵ : آسیب پذیری جعل درخواست سمت سرور
CVE-۲۰۲۱-۲۶۸۵۷ : آسیب پذیری حیاتی در سرویس Unified Messaging
CVE-۲۰۲۱-۲۶۸۵۸ : آسیب پذیری ایجاد یک فایل دلخواه پس از احراز هویت
CVE-۲۰۲۱-۲۷۰۶۵ : آسیب پذیری ایجاد یک فایل دلخواه پس از احراز هویت
خطرناکترین آسیب پذیری اجبار جعل درخواست سمت سرور SSRF است که منجر به دسترسی به سرور Microsoft Exchange شده و قابلیت سرقت محتوای کامل Mailbox میگردد. این آسیب پذیری نیاز به هیچگونه سطح دسترسی نداشته و صرفا با داشتن آدرس IP خارجی سرور Exchange قابل انجام میباشد.
نحوه استفاده از این آسیب پذیری ها توسط هکر : ارسال درخواست HTTP با روش POST حاوی پیلود XML SOAP توسط هکر به سمت API Exchange Web Services (EWS)، این درخواست SOAP که با استفاده از کوکی های خاص ساخته شده، احراز هویت را دور می زند و در نهایت درخواست مشخص شده در XML را اجرا می کند و به مهاجم اجازه می دهد تا هرگونه عملیات روی صندوق پستی کاربران را انجام دهد. درمرحله بعدی هکر با نصب Web Shell دسترسی خود را برای نفوذ به شبکه داخلی حفظ مینماید.
https://github.com/microsoft/CSS-Exchange/tree/main/Security
توضیحات بیشتر در سایت WeLiveSecurity
ESET:
Microsoft Exchange Server ۲۰۱۰ Service Pack ۳
https://www.microsoft.com/download/details.aspx?familyid=۱۹۲۸d۷۷۲-۳b۲۳-۴aa۷-a۷۱e-c۸ecf۲ab۱۸۰۱
Microsoft Exchange Server ۲۰۱۳ Cumulative Update ۲۳
http://www.microsoft.com/download/details.aspx?familyid=۱۲۵۵ecd۷-b۱۸۷-۴۸۳۹-۹۶c۹-۱fc۵e۰۵df۷b۶
Microsoft Exchange Server ۲۰۱۶ Cumulative Update ۱۸
http://www.microsoft.com/download/details.aspx?familyid=۱۹۲fa۶۰f-۶۶۴a-۴f۳e-b۱۹f-e۲۹۵۱۳۵e۴۶۹b
Microsoft Exchange Server ۲۰۱۶ Cumulative Update ۱۹
http://www.microsoft.com/download/details.aspx?familyid=۳۱۲۱۱a۴۸-۰cef-۴۶۲e-bb۱۱-c۳۶۴۴۰f۸۰bb۳
Microsoft Exchange Server ۲۰۱۹ Cumulative Update ۷
http://www.microsoft.com/download/details.aspx?familyid=۲aadda۱۴-b۸aa-۴۳۷۰-a۴۹۲-۰a۶۸۱۸facce۸
Microsoft Exchange Server ۲۰۱۹ Cumulative Update ۸
https://www.microsoft.com/download/details.aspx?familyid=۱۸c۷۵۶۴۱-e۵۳d-۴۹۷۹-۸d۵e-۲۹a۸۰۶۷۴e۴۱f
این حمله باج افزاری فایل های قربانی را با پسوند CRYPT و با الگوریتم AES-۲۵۶ و RSA-۲۰۴۸ رمزنگاری میکند.
فایل های این گروه باج افزاری در این لحظه توسط حدود ۳۵-۴۰ نوع آنتی ویروس مختلف شناسائی میشود که لیست آنها در لینک های زیر در دسترس شماست. اما با توجه به اینکه آسیب پذیری کشف شده دسترسی Administrator را تقدیم هکر مینماید، غیر فعال کردن آنتی ویروس سرور کار غیر ممکنی برای هکر نخواهد بود.
https://www.site-shot.com/IPIlvIMxEeuf۰wJCrBEABA
https://www.site-shot.com/PO-۶zIMxEeubKgJCrBEABQ
https://www.site-shot.com/j۷i۴۱oM_Eeuk۲gJCrBEABQ
این درحالی است که علی رغم هشدار های وسیع داده شده، بر اساس گزارش Shodan حداقل ۸۰۰ سرور Exchange آسیب پذیر کماکان تا این لحظه در کشور آنلاین هستند.
▪️ اطلاعات شبکه ابری شناسائی ویروس های ESET نشان میدهد گروه Tick از ۲۸ فوریه ( ۴ روز قبل از ارائه پچ های مایکروسافت ) شروع به هک سرورهای اکسچنج نموده اند و سپس سایر مهاجمان با حدود ۱۰ گروه هکری به بیش از ۵.۰۰۰ سرور در ۱۱۵ کشور نفوذ کرده و اقدام به ایجاد وب شل ها نموده اند.
▪️ آمار فوق از ۲۸ فوریه تا ۹ مارچ ۲۰۲۱ میباشد و فقط مربوط به سرورهایی است که آنتی ویروس های ESET بر روی آنها نصب بوده است.
▪️ نکته بسیار تامل بر انگیز در مورد هک Exchange اینست که این آسیب پذیری ۲ ماه قبل در تاریخ ۵ ژانویه ۲۰۲۱ توسط Orange Tsai و Volexity شناسائی و به مایکروسافت گزارش شده بود.
▪️ آنتی ویروس های ESET وب شل های این حملات را با عنوان JS/Exploit.CVE-۲۰۲۱-۲۶۸۵۵.Webshell شناسائی میکنند.
منبع کامل تحلیل حملات در سایت Welivesecurity
https://github.com/eset/malware-ioc/tree/master/exchange_exploitation
نکته بسیار خطرناک در مورد این حملات این است که برخی وب شل های مورد استفاده هکرها تا ۹ مارچ ۲۰۲۱ (۱۰ روز بعد از شروع حملات) تنها توسط ۴ نوع آنتی ویروس شناسائی میشد که لیست آنها بر اساس گزارش VirusTotal بدین شرح هستند :
https://www.site-shot.com/sGwBrIESEeu_JQJCrBEABQ
احتمال بروز اختلال در سامانه‌‌های کامپیوتری با آغاز سال ۱۴۰۰
مرکز مدیریت راهبردی افتا از مسوولان و متخصصان IT زیرساخت‌های حیاتی، تولیدکنندگان سامانه‌‌ها و ارائه‌دهندگان خدمات پشتیبانی خواست، برای پیشگیری از وقوع هر اختلالی به هنگام آغاز سال ۱۴۰۰، تمامی سامانه‌‌های وابسته به تاریخ شمسی از جمله CRM، انبارداری، فروش، حسابداری، مدیریت محتوا و هر سامانه دیگری را از نظر امکان بروز مشکل در تغییر تاریخ و آغاز سال جدید بررسی کنند. کارشناسان مرکز مدیریت راهبردی افتا یادآور شده‌اند: اهمیت مساله و چالش‌های ناشی از بروز مشکل تغییر تاریخ در آغاز سال جدید، در سامانه‌‌های ارائه‌دهنده خدمات عمومی و همچنین سامانه‌‌های قدیمی بیشتر است. به همه مسوولان و متخصصانIT زیرساخت‌های حیاتی، تولیدکنندگان سامانه‌‌ها و ارائه‌دهندگان خدمات پشتیبانی توصیه شده است با هدف رفع مشکل احتمالی سامانه‌‌ها، قراردادهای خدمات پشتیبانی سامانه‌‌های حیاتی و دارای اهمیت، تمدید و به‌روزرسانی شوند. مرکز مدیریت راهبردی افتا از همه متخصصان و مسوولان IT دستگاه‌‌های دارای زیرساخت حیاتی و همچنین ارائه‌دهندگان خدمات پشتیبانی، خواسته است تا پایگاههای داده و چگونگی نگهداری تاریخ شمسی را در آنها از جهت بروز مشکل و اختلالات تغییر تاریخ بررسی کنند.نظر به تجربیات بین المللی در ورود به سال ۲۰۰۰ میلادی با تغییر قرن شمسی و آغاز سال ۱۴۰۰ جهت جلوگیری از بروز اختلالات احتمالی لازم است موارد ذیل مورد توجه قرار گیرد:
⭕ قبل از شروع سال جدید کلیه سامانه ها از جمله CRM، انبارداری، فروش، حسابداری، مدیریت محتوا و هرگونه سامانه دیگر که دارای وابستگی به تاریخ شمسی می باشند از نظر امکان بروز مشکل در سال جدید بررسی شوند. اهمیت موضوع برای سامانه های خدمت رسان به عموم و احتمال بروز مشکل روی سامانه های قدیمی بیشتر می باشد.
⭕ پایگاههای داده و سایر بخشهای مربوطه از جهت بروز مشکل بررسی و قبل از استفاده در تحلیلها و سامانه ها اصلاح شوند.
⭕ در صورت فقدان امکان پشتیبانی در محل هر گونه دسترسی از راه دور برای اصلاح و بروزرسانی سامانه ها طبق چارچوب ذکر شده در ابلاغات مرکز ملی فضای مجازی و افتا از جمله الزامات دورکاری و امنیتی پایه بصورت امن و با رعایت کلیه اصول امنیتی صورت پذیرد.
تهدید امنیت سایبری در کشور بابت آسیب‌پذیری Exchange خطر سایبری در کمین بیش از هزار سرور ایرانی
طبق گزارش سایت Shodan.io تعداد ۲۶۶۶۲۹ سرور Exchange آسیب‌پذیر همچنان روی اینترنت در دسترس است و بیش از ۱۰۰۰ سرور آسیب‌پذیر نیز در ایران وجود دارد.به گزارش افتانا (پایگاه خبری امنیت فناوری اطلاعات)، براساس گزارش سایت Shodan.io تعداد ۲۶۶۶۲۹ سرور Exchange آسیب‌پذیر همچنان روی اینترنت در دسترس است. در ایران تاکنون بیش از ۱۰۰۰ سرور آسیب‌پذیر در دسترس است.
نگاهی اجمالی به لیست سرورهای آسیب‌پذیر در ایران نشان میدهد Mail Serverهای سازمان‌هایی ازجمله یک نهاد حاکمیتی، چند سازمان دولتی، یکی از بانک‌ها، یکی از پژوهشگاه‌های مهم کشور، یکی از شرکت‌های فعال در حوزه نیروگاهی، یک شرکت نفتی، چندین دانشگاه، یک شرکت بیمه‌ای، یک شرکت داروسازی، چند فروشگاه اینترنتی و زنجیره‌ای، یک شرکت بزرگ حمل‌ونقل و ترانزیت کالا، چندین کارخانه تولیدی و حتی چندین شرکت فعال در حوزه IT و امنیت در میان سرورهای آسیب‌پذیر دیده می‌شوند.
تاکید میشود عدم نصب Patch روی Exchange های آسیب‌پذیر می تواند به سادگی دسترسی کامل سرور ایمیل را در اختیار فرد هکر قرار دهد.
هشدار کارشناسان: به اشتراک گذاری اطلاعات کاربران برنامه های ضدکرونا محدود شود
کارشناسان امنیت سایبری دانشگاه تافتس در آمریکا هشدار داده اند به اشتراک گذاری اطلاعات میلیون ها کاربر اپلیکیشن های ضدکرونا باید محدود شده و به دقت زیرنظر گرفته شود تا احتمال سوءاستفاده از داده های شخصی افراد به حداقل برسد.
یکی از مهم ترین کارکردهای این برنامه ها اطلاع رسانی به افراد در مورد اماکن و اشخاصی است که عامل شیوع ویروس کرونا هستند. اما اگر قرار باشد در آینده اطلاعات شخصی افراد و به خصوص داده های جغرافیایی آنها کماکان ردگیری شود، امنیت و حریم شخصی افراد به خطر می افتد.
این نگرانی ها به خصوص پس از آن مطرح شده که اپل و گوگل قصد دارند با راه اندازی یک برنامه مشترک سازگار با اندروید و آی او اس شناسایی افراد مبتلا به کرونا را در حین تماس تلفنی با آنها ممکن کرده و در این زمینه به تماس گیرندگان هشدار دهند.
اگر چه اپل و گوگل وعده داده اند که خدمات مذکور به گونه ای ارائه می شوند که امنیت و حریم شخصی افراد محفوظ بماند. اما با توجه به سوابق بد این دو شرکت در این زمینه به سختی می تواند به ادعاهای آنها اعتماد کرد.
منبع:آی سی تی پرس
آیا اینتل تولید تراشه‌های پایین‌رده‌ی خود را به گلوبال‌فاندریز واگذار خواهد کرد؟
.اینتل به‌احتمال‌زیاد قصد دارد بخشی‌از خطوط تولید تراشه‌های celeron، پنتیوم و تراشه‌های نوع Core i3 را به گلوبال‌فاندریز منتقل کند
اینتل از سال میلادی گذشته ظرفیت کارخانههای تولید تراشه را که به ریخته‌گری (foundry) مشهورند، محدود کرده است و اگر شایعات
منتشرشده قابل‌استناد باشد، شرکت مذکور در نظر دارد فرآیند تولید برخی‌از پردازنده‌های پایین‌رده‌اش را به کارخانه‌ی ریخته‌گری تراشه‌های نیمه‌رسانای گلوبال‌فاندریز (Global Foundries) منتقل کند. باتوجه به اینکه چنین خبری بسیار مهم بوده و تنها از یک منبع نشات می‌گیرد و هیچ راهی برای اعتبارسنجی آن وجود ندارد، بهتر است در این مورد به‌جای خبر از کلمه‌ی مناسب‌تر شایعه استفاده شود. برای کاربران نیز عاقلانه‌تر این است به این خبر با دیده‌ی تردید نگاه کنند.
تقاضای کمتر از حد انتظار برای تراشه‌های ۱۴ نانومتری اینتل سخنی گزاف است. تیم آبی در سه‌ماهه‌ی اخیر در تولید تراشه رکورد زده است و هم‌اکنون نیز تلاش دارد ظرفیت تولید را ۲۵ درصد افزیش دهد. بااین‌حال باتوجه‌به رشد مورد انتظار برای صنعت کامپیوتر در سال ۲۰۲۰ میلادی، شاید افزایش ۲۵ درصدی نیز پاسخ‌گوی تقاضاها نباشد. از آن‌جایی‌که کارت‌های گرافیک اینتل امسال وارد خط تولید خواهند شد، شرایط بسیار سخت‌تر میشود و نیاز است این شرکت خطوط تولید خود را با دقت بیشتری مدیریت کند تا توانایی پاسخگویی به حجم بالای تقاضا را داشته باشد و بیش‌از این سهمش از بازار و محبوبیتش را به AMD واگذار نکند. اینجا است که احتمال شایعه‌بودن چنین خبری پررنگ‌تر میشود
نظر به‌اینکه گلوبال‌فاندریز درحال‌حاضر تنها تراشه‌هایی با لیتوگرافی ۱۴ و ۱۶ نانومتری تولید میکند، منطقی به‌نظر می‌رسد که اینتل با جابه‌جایی خطوط تولید پردازنده‌های خود با لیتوگرافی یادشده به شرکت گلوبال‌فاندریز که بازار کسادی را تجربه میکند، فضای ضروری را برای تولید تراشه‌های بالارده ایجاد کند. دلیل دیگری که این شایعه را قابلِ‌باورتر میکند، این‌است که با در‌نظر گرفتن محل استقرار کارخانه گلوبال‌فاندریز در داخل ایالات متحده و نامناسب‌بودن فضای سیاسی برای برون‌سپاری ظرفیت به TSMC، انتقال خطوط تولید به شرکتی مانند گلوبال‌فاندریز گزینه‌ای محتمل‌تر برای اینتل است. به‌گفته‌ی منبع افشاکننده‌ی خبر، اینتل به‌احتمال‌زیاد قصد دارد خطوط تولید تراشه‌های سلرون و پنتیوم را به گلوبال‌فاندریز منتقل کند. این احتمال وجود دارد بخشی از خطوط تولید تراشه‌های نوع Core i3 نیز به این کارخانه منتقل شوند
پیش‌تر شایعاتی وجود داشت که اینتل قصد دارد برای تولید کارت‌های گرافیک نسل جدید خود (به‌جز DG1) با TSMC همکاری کند که باعث میشد با تکیه‌بر کارخانه‌ای در خارج از آمریکا، فضای لازم برای تولیدات جدید فراهم شود. با اینکه به‌نظر نمی‌رسد اینتل علاقه‌ی چندانی به این گزینه داشته باشد، استراتژی مذکور راه را برای ایجاد شعبه از گروه کارخانههای این شرکت هموار میکند و باعث میشود اینتل به‌عنوان مقر طراحی تراشه‌ها، عملکرد مستقلانه‌ای داشته باشد. با تمامی این گفته‌ها، قراردادی که AMD برای تامین ویفرهای خود با گلوبال‌فاندریز بسته است، اساسا بسیار فراگیر است و بعید است چنین موردی در رابطه‌با اینتل هم صادق باشد
انتخاب پردازنده‌های سلرون و پنتیوم برای انتقال به ریخته‌گری گلوبال‌فاندریز با عقل جور درمی‌آید، زیرا این تراشه‌ها واقعا به فرآیند لیتوگرافی پیشرفته و آن سطح از تکامل که در لیتوگرافی +++14nm در دسترس است، نیازی ندارند. فناوری ساخت GlobalFoundries برای ساخت این پلتفرم‌های پایین‌رده کفایت میکند و باور عمومی بر این است، خلاصی از شر این تراشه‌ها گزینه‌ای مناسب برای اینتل باشد. از سوی دیگر، نمی‌توان به درستی این شایعه در مورد پردانده‌های سری Core i3 مطمئن بود، زیرا این تراشه‌ها ازجمله قطعات کلیدی در کاربری‌های دسکتاپ هستند و همواره برند اینتل را یدک کشیده‌اند.. همچنین فناوری تولید گلوبال‌فاندریز متفاوت از لیتوگرافی اینتل است و کاهش کیفیت پردازنده‌های Core i3، لطمه‌ی بزرگی به اعتبار اینتل خواهد بود
با تمامی این گفته‌ها، اگر شایعه‌ی یادشده صحت داشته باشد، اینتل در سه‌ماهه‌ی کنونی، مطابق وعده‌های پیشین، خواهد توانست ظرفیت تولید را تا ۲۵ درصد افزایش دهد و اگر عرضه‌ی تراشه‌های ۱۰ نانومتری باموفقیت به‌پیش برود، درنهایت اینتل تا اوایل سال ۲۰۲۱ میلادی از مسیر ناهموار فعلی به‌سلامت عبور خواهد کرد. سپردن تراشه‌های پایین‌رده به گلوبال‌فاندریز، زمان تنفسی را برای اینتل فراهم میکند که گویا اخیرا جایگاه پیشین خود را از دست داده است. اگر عرضه‌ی تراشه‌های ۱۰ نانومتری با شکست مواجه شود، این شرکت سهم بیشتری از بازار را به AMD واگذار خواهد کرد. آن زمان است که با کناررفتن تدریجی لیتوگرافی ۱۴ نانومتری، تقاضا برای محصولات اینتل با افت شدیدی مواجه خواهد شد