مروری بر امنیت سایبری در سال ۲۰۲۲

به نقل از آژانس امنیت ملی (NSA)، آژانس امنیت ملی سال ۲۰۲۲ را از نظر بازبینی و گزارشی از آن منتشر کرده است تا تمرکز مأموریت خود را به اشتراک بگذارد و نشان دهد که چگونه نتایج امنیت سایبری را ایجاد می‌کند .

گزارش امسال توانایی این آژانس در مقیاس‌سازی راه‌حل‌های امنیت سایبری از طریق مشارکت‌های قوی را نشان می‌دهد که منجر به سرعت و چابکی می‌شود.

راب جویس، مدیر امنیت سایبری NSA گفت: با محافظت از حساس‌ترین شبکه‌های دولت ایالات متحده ، ما راه‌حل‌هایی را که به امنیت زیرساخت‌های حیاتی، متحدان ایالات متحده و کسب‌وکارها و مصرف‌کنندگان در سراسر جهان کمک می‌کند، ارائه می‌کنیم . تلاش‌های ما برای محافظت از این شبکه‌ها به محافظت از شبکه شما کمک می‌کند.

گزارش امنیت سایبری آژانس امنیت ملی روی موارد زیر تأکید می‌کند :

• همکاری با صنعت برای سخت‌تر کردن میلیاردها نقطه پایانی در برابر تهدیدات فعال و مداوم دولت و ملت

• افشای ده‌ها آسیب‌پذیری روز صفر برای فروشندگان نرم‌افزار به منظور اصلاح قبل از اینکه مهاجمان سایبری از آن‌ها سوء استفاده کنند

• انتشار عمومی راهنمای امنیت سایبری برای محافظت در برابر دشمنان فعال و تهدیدات مجرمانه سایبری و سخت‌تر کردن سیستم‌ها

• استانداردهای ایمن برای فناوری‌های نوظهور از طریق مرکز استانداردهای امنیت سایبری NSA

• تحقیق و ارائه ابزارها و پیشرفت‌های فناوری که از اکوسیستم سایبری محافظت می‌کند

در حالی که این گزارش تا حد امکان اطلاعات غیرمحرمانه در مورد تمرکز و تلاش‌های مأموریت امنیت سایبری NSA را شامل می‌شود، بسیاری از کارهای مهم NSA برای محافظت از کشور نمی‌تواند به طور عمومی افشا شود. نکات کلیدی این گزارش عبارتند از:

• مشارکت NSA قوی و در حال رشد است.

o مرکز همکاری امنیت سایبری (CCC) آژانس امنیت ملی مشارکت‌های صنعتی خود را در سال گذشته دو برابر کرد و به بیش از ۳۰۰ رابطه مشترک رساند . در CCC، NSA بینش‌های SIGINT را با دیدگاه‌های شرکای صنعتی ترکیب می‌کند تا امنیت سایبری مبتنی بر اطلاعات را ارائه دهد که از کشور و متحدان ایالات متحده محافظت می‌کند.

o آژانس امنیت ملی از طریق تیم شکست دشمن خود در کمپین‌های کل دولت برای مقابله با فعالیت‌های سایبری مخرب دشمنان ایالات متحده مشارکت می‌کند. این حرکت از استراتژی دفاع ملی پشتیبانی می‌کند.

o آژانس امنیت ملی در بیش از نیمی از گزارش‌های عمومی امنیت سایبری خود در سال جاری با شرکای بین‌المللی همکاری کرد تا درک تهدیدات را افزایش دهد و اقدامات دفاعی برتر را برای مدافعان شبکه ارائه کند.

o این آژانس با صنعت و شرکای دولت ایالات متحده برای مقابله با تهدید محاسبات کوانتومی همکاری کرده است. این آژانس امنیتی از طریق انتشار مجموعه الگوریتم امنیت ملی تجاری ۲.۰ (CNSA Suite ۲.۰) در سال ۲۰۲۲ مالکان، اپراتورها و فروشندگان NSS را از الزامات آینده برای الگوریتم‌های مقاوم در برابر کوانتومی برای استفاده در NSS مطلع کرد.

• NSA زیرساخت‌های امنیتی و حیاتی را فراهم می‌کند.

oآژانس امنیت ملی میلیون‌ها دستگاه را در سراسر جهان با رمزگذاری ایمن می‌کند و زیرساخت کلید زدن آن دستگاه‌ها را مدیریت می‌کند. این شامل تولید و توزیع کلیدها، کدها و مواد رمزنگاری است که دولت و ارتش ایالات متحده از آن‌ها برای ایمن‌سازی تسلیحات، ماهواره‌ها، ارتباطات و بسیاری از سیستم‌های دیگر استفاده می‌کنند که امنیت ملی به شدت به آن‌ها متکی است.

• NSA آموزش امنیت سایبری را در سراسر کشور، از مهدکودک تا دانشگاه با تأمین مالی برنامه‌هایی مانند GenCyber، چالش CodeBreaker، تمرین سایبری NSA و مراکز ملی تعالی علمی در امنیت سایبری تقویت می‌کند.

بیشتر بخوانید

هشدار Fortinet درباره نقص جدید بای‌پس احراز هویت در FortiGate و FortiProxy

مجموعه Fortinet به طور خصوصی به مشتریان خود در مورد نقص امنیتی که فایروال‌های FortiGate و پروکسی‌های وب FortiProxy را تحت تاثیر قرار می‌دهد ، هشدار داده است .

این نقص به طور بالقوه به مهاجم اجازه می‌دهد تا اقدامات غیرمجاز را روی دستگاه‌های حساس انجام دهد .

این نقص مهم که به‌ عنوان CVE-2022-40684 رد‌یابی و معرفی می‌شود (امتیاز CVSS : 9.6) ، به یک آسیب‌ پذیری بای‌ پس احراز هویت مربوط می‌شود که ممکن است به یک مهاجم تایید نشده اجازه دهد تا از طریق یک درخواست HTTP(S) ساختگی ویژه ، عملیات دلخواه را در اینترفیس ادمین انجام دهد .

این مشکل بر نسخه‌های زیر تاثیر می‌گذارد و در نسخه‌های FortiOS 7.0.7 و ۷.۲.۲ و نسخه‌های FortiProxy 7.0.7 و ۷.۲.۱ که این هفته منتشر شده است، بررسی شده است :

FortiOS – از ۷.۰.۰ تا ۷.۰.۶ و از ۷.۲.۰ تا ۷.۲.۱

FortiProxy – از ۷.۰.۰ تا ۷.۰.۶ و ۷.۲.۰

این شرکت در هشداری که توسط یک محقق امنیتی با نام مستعار Gitworm در توییتر به اشتراک گذاشته شده است ، هشدار داد : « به دلیل امکان بهره‌ برداری از این مشکل از راه دور ، Fortinet اکیدا به همه مشتریان دارای نسخه‌های آسیب‌پذیر توصیه می‌کند که فورا تجهیزات و دستگاه‌های خود را ارتقا داده و بروزرسانی کنند. »

به‌عنوان راه‌ حل موقت ، این شرکت به‌ کاربران توصیه می‌کند تا زمانی کا بروزرسانی‌ها انجام شوند ، مدیریت HTTPS متصل به اینترنت را غیرفعال کنند ، یا در عوض ، یک پالیسی فایروال را برای «ترافیک محلی» اعمال کنند .

هنگامی که با فورتینت برای اظهار نظر در‌ این‌ باره تماس گرفته شد ، آنها این توصیه را تایید کرده و خاطرنشان کردند که اطلاع‌ رسانی عمومی را تا زمانی که مشتریانش اصلاحات را اعمال نکرده باشند ، به تاخیر می‌اندازد .

این شرکت در بیانیه‌ای که با The Hacker News به اشتراک گذاشته شده است ، گفت : « ارتباطات به موقع و مداوم با مشتریان ما یک جزء کلیدی در تلاش‌های ما برای ارائه بهترین راهکار‌های محافظت و ایمن‌ سازی سازمان آنها است . ارتباطات مشتری اغلب به‌ روزترین راهنمایی‌ها و گام‌های بعدی توصیه‌ شده را برای بهترین محافظت و ایمن کردن سازمانشان شرح و ارائه می‌دهد. »

« مواردی وجود دارد که ارتباطات محرمانه مشتری می‌تواند شامل هشدار‌های اولیه در مورد مشاوره باشد تا مشتریان بتوانند وضعیت امنیتی خود را بیشتر تقویت کنند، که سپس در روز‌های آینده به طور عمومی برای مخاطبان گسترده‌تر منتشر می‌شود . امنیت مشتریان ما اولویت اول ما است. »

بیشتر بخوانید

5 نشانه هک شدن سایت وردپرس شما (و نحوه رفع آن)

در حال حاضر، بیش از 455 میلیون وب‌سایت با وردپرس طراحی شده‌اند که این واقعیت را نشان می‌دهد که سیستم مدیریت محتوای منبع باز یک هدف سودآور برای مجرمان سایبری است و چرا امنیت باید اولویت اصلی کاربران WP باشد .

بله ، نشانه هایی وجود دارد که نشان می دهد وردپرس یا هر وب سایت شما هک شده است ، و راه هایی برای رفع آن وجود دارد . این مقاله پنج راه را ارائه می دهد که می توانید متوجه شوید که وب سایت شما هک شده است یا خیر، و سپس چند راه برای حل هک ارائه می دهد .

به یاد داشته باشید که یک مهاجم مخرب راه های مختلفی برای دسترسی دارد. ممکن است یک بدافزار یا یک پلاگین شرور باشد ، اما ممکن است چیز شوم تری باشد ، مثلاً ایمیل شما هک شده باشد یا گوشی هوشمند/ رایانه شما دارای نرم افزارهای جاسوسی باشد . در اینجا چند نشانه وجود دارد که نشان می دهد وب سایت شما هک شده است .

 1-شما نمی توانید وارد حساب کاربری خود شوید
اگر نمی توانید وارد حساب کاربری خود شوید ، این یک نشانه کلاسیک است که نشان می دهد شما هک شده اید . با این حال ، علیرغم اینکه یک نشانه کلاسیک است ، یکی از کمترین موارد رایج است . بسیاری از هکرها نمی خواهند شما متوجه شوید که هک شده اید . این به آن‌ها اجازه می‌دهد اطلاعات مشتری شما را جمع‌آوری کنند و / یا شما را در وب‌سایت خود نگه می‌دارند تا بتوانند به بهره‌برداری از آن ادامه دهند .

2-پرونده ها و اسکریپت های ناشناخته
برای کسانی از شما که از برنامه نویسی اطلاع دارید ، ممکن است بتوانید وب سایت خود را از هرگونه بدافزار و خطرات امنیتی پاک کنید . اگر مهارت دارید ، می توانید به کد وردپرس خود نگاه کنید ، ممکن است اسکریپت های ناشناخته و پرونده های احتمالاً ناشناخته را در وردپرس خود مشاهده کنید . این اغلب به دلیل افزونه های ناعادلانه است که پرونده های خود را پشت سر می گذارند که ممکن است توسط هکرها یا سایر بدافزارها در تاریخ بعدی استفاده شود .

3-وب سایت شما کند شد
این سیگنالی است که شخصی به دلایل ناعادلانه از وب سایت شما استفاده می کند. این می تواند هر چیزی باشد ، از افرادی که از تصاویر شما و از پهنای باند خود استفاده می کنند ، تا افراد اسپم شده از وب سایت Google Safe شما به یکی از موارد ناخوشایند خود هدایت شوند .

یکی دیگر از دلایلی که وب سایت شما ممکن است برای بارگیری بسیار طولانی تر از حد معمول طول بکشد این است که ممکن است به خطر بیفتد و به عنوان بخشی از یک بات نت در مقیاس بزرگتر استفاده شود . در سال 2018 ، محققان 20،000 وب سایت به خطر افتاده وردپرس را که به عنوان یک بات نت برای انجام حملات سایبری کار می کردند ، شناسایی کردند .

4-موارد عجیب و غریب در وب سایت شما
یک ترفند احمقانه این است که پاپ آپ را به وب سایت خود اضافه کنید . این احمقانه است زیرا شما را به هک هشدار می دهد و باعث واکنش شما می شود . در واقعیت ، آنها پیوندهایی به وب سایت های اسپم اضافه می کنند که بینندگان بی گناه شما از بین می روند . پس از مدتی به دلیل داشتن یک وب سایت مشکوک توسط موتورهای جستجو ممنوع می شوید .

5-درآمد ترافیک یا وابسته شما کاهش یافته است
این یکی دیگر از نشانه های کلاسیک است که نشان می دهد وب سایت شما هک شده است . مهاجم از ترافیک شما و شاید حتی پول وابسته شما برای اهداف خود استفاده می کند . اغلب ، این رفتارهای عجیب و غریب در تجزیه و تحلیل شما است که به شما در مورد هک وردپرس هشدار می دهد .

چطوری میشه اینو تعمیر کرد
اول از همه ، شما باید منبع حمله را شناسایی کنید . اگر نه ، می توانید گزارش های دسترسی سرور خود را بررسی کنید. هنگامی که می دانید حمله از کجا آمده است ، می توانید اقداماتی را برای مسدود کردن آن آدرس IP انجام دهید .

سپس باید شروع به تغییر رمز عبور خود – برای حساب وردپرس خود و همچنین هر FTP یا حساب های میزبانی مرتبط با سایت خود کنید . حتما از رمزهای عبور قوی استفاده کنید که حدس زدن آن ها دشوار است .

علاوه بر این ، می‌توانید ایمیل اصلی وردپرس را فقط در صورت بروز مشکل تغییر دهید . باید افزونه های خود را مرور کنید تا متوجه شوید که آیا یکی از آنها باعث ایجاد مشکل شده است یا خیر . اگر افزونه امنیتی نصب کرده اید، لاگ های آن را بررسی کنید تا ببینید آیا سرنخ هایی وجود دارد یا خیر .

شما باید از طریق افرادی که به آنها مجوز داده اید بروید ، زیرا ممکن است درگیر یک کلاهبرداری وردپرس یا یک وب سایت جعلی شده باشند و ناآگاهانه اطلاعات خود را از دست داده باشند. همچنین ممکن است لازم باشد به میزبان وب خود نیز مشکوک شوید زیرا آنها اغلب هک می شوند یا اطلاعات مشتری را به صورت آنلاین بدون هیچ گونه احراز هویت امنیتی افشا می کنند.

اگر هنوز مطمئن نیستید با یک شرکت امنیتی وب سایت مانند Sucuri یا سرویسی مانند WP Masters تماس بگیرید تا به آنها اجازه دهید در وب سایت شما اجرا شوند ، آن را تعمیر کنند ، هکرها را حذف کنند، بدافزار را حذف کنند و کنترل کامل بر وب سایت خود را دوباره به دست آورند. این اغلب تنها راه قطعی برای بازگرداندن کنترل کامل وب سایت شما است . در نهایت ، باید هر کد مخربی که ممکن است به سایت شما تزریق شده باشد را پاک کنید .

بیشتر بخوانید

بزرگترین حمله HTTPS DDOS ثبت شده توسط گوگل با ۴۶ میلیون درخواست در ثانیه

بنا بر گزارش‌ها ، Google با بزرگترین حمله DDoS در تاریخ علیه یکی از مشتریان خود هدف قرار گرفته است . حمله‌ای به یکی از مشتریان Google Cloud Armor در ۱ ژوئن رخ داد که طی آن ۴۶ میلیون درخواست در هر ثانیه توسط حملات HTTPS DDoS برای یک مشتری Google Cloud Armor ارسال شد .

این قدرتمندترین حمله DDoS لایه ۷ است که تا به امروز گزارش شده و حداقل ۷۶٪ از رکورد قبلی فراتر رفته است .

این معادل دریافت تمام درخواست‌های روزانه به ویکی‌پدیا در تنها چند ثانیه است ، بنابراین می‌توانید به راحتی مقیاس حمله را درک کنید .

با شناسایی و تجزیه و تحلیل ترافیک در اوایل چرخه حمله ، Cloud Armor Adaptive Protection توانست از موفقیت حمله جلوگیری کند .

یک قانون حفاظتی توسط Cloud Armor به مشتری توصیه شده بود که قبل از اینکه حمله به حد کامل برسد به مشتری ارائه شد .

با کمک Cloud Armor، خدمات مشتری به صورت آنلاین نگه داشته شد و کاربران نهایی آن توانستند به دریافت خدمات ادامه دهند .

حمله طولانی مدت
این حادثه حوالی ساعت 09:45 به وقت اقیانوس آرام در تاریخ ۱ ژوئن اتفاق افتاد و گمان می‌رود که یک حمله مبتنی بر وب باشد . در راستای تلاش برای به خطر انداختن تعادل لود HTTP/S قربانی ، مهاجم در ابتدا توانسته بود تنها ۱۰۰۰۰ درخواست در ثانیه ایجاد کند .

در عرض هشت دقیقه پس از شروع حمله ، این عدد به ۱۰۰۰۰۰ RPS افزایش یافت . پس از دریافت داده‌های خاصی که از تجزیه و تحلیل ترافیک Google استخراج شده بود، Cloud Armor Protection یک هشدار و‌ شناسه ایجاد کرد که بر اساس داده‌ها شروع به کار کرد .

اوج ۴۶ میلیون درخواست در ثانیه دو دقیقه بعد در نتیجه حمله بود . به لطف توصیه Cloud Armor، مشتری قبلاً این قانون را برای فعال کردن عملکرد عادی اعمال کرده بود و نهایتاً در ۶۹ دقیقه پس از شروع حمله، این حمله رکوردشکن به پایان رسید .

این هشدار شامل توصیه‌ای برای قاعده‌ای بود که می‌توان از آن برای مسدود کردن امضا‌ها با نیت مخرب استفاده کرد .

در مجموع ، ۵۲۵۶ آدرس IP منبع در ۱۳۲ کشور در سراسر جهان درگیر این حمله بودند . حدود ۳۱ درصد از کل ترافیک حمله توسط ۴ کشور بزرگ ایجاد شده است .

هنوز هیچ اطلاعاتی در مورد بدافزاری که پشت این حمله است وجود ندارد . اما به نظر می‌رسد بات نت Mēris محتمل‌ترین ارائه دهنده این خدمات بر اساس توزیع جغرافیایی استفاده از آن‌ها باشد .

استفاده از نود‌های خروج Tor به عنوان مکانیزم تحویل ترافیک یکی دیگر از ویژگی‌های این حمله است . به گفته محققان گوگل، مقدار قابل توجهی از ترافیک ناخواسته را می‌توان از طریق نود‌های خروج Tor تحویل داد .

علاوه بر این ، رشد مداوم در اندازه حمله و تکامل تاکتیک‌ها در چند سال آینده وجود خواهد داشت . بنابراین، کاربران باید مکانیسم‌های امنیتی قوی را برای دفاع و کاهش چنین حملاتی به کار گیرند .

بیشتر بخوانید

آسیب‌پذیری صد‌ها هزار روتر نسبت به حملات از راه دور بعلت نقص Realtek SDK

یک آسیب‌پذیری جدی که بر روی eCos SDK ساخته شده توسط شرکت سمی‌کانداکتور تایوانی Realtek تأثیر می‌گذارد ، می‌تواند دستگاه‌های شبکه بسیاری از تأمین‌ کنندگان را در معرض حملات از راه دور قرار دهد .

این حفره امنیتی که تحت عنوان CVE-2022-27255 ردیابی می‌شود و دارای درجه «شدت بالا» است ، به‌عنوان یک سرریز بافر مبتنی بر استک توصیف شده است که می‌تواند به مهاجم راه دور اجازه دهد تا در دستگاه‌هایی که از SDK استفاده می‌کنند ، خرابی ایجاد کند یا به اجرای کد دلخواه دست یابد . یک چنین حمله‌ای را می‌توان از طریق رابط WAN با استفاده از پکت‌های SIP ساخته و طراحی شده ، انجام داد .

اساساً Realtek eCos SDK به شرکت‌هایی ارائه می‌شود که روتر‌ها ، اکسس پوینت‌ها و ریپیتر‌هایی که توسط SoC‌های خانواده RTL819x تولید می‌کنند ، ارائه می‌شود . SDK عملکرد‌های پایه روتر ، از جمله اینترفیس مدیریت وب و استک شبکه را پیاده‌ سازی می‌کند . تأمین‌کنندگان می‌توانند در ادامه آن این SDK را ایجاد کنند تا عملکرد‌های سفارشی و نام تجاری خود را به دستگاه اضافه کنند .

مجموعه Realtek در ماه مارس و زمانی که انتشار یک پچ را اعلام کرد ، مشتریان را در مورد آسیب‌پذیری eCos SDK مطلع کرد . با این حال ، این مربوط به OEM‌هایی است که از SDK استفاده می‌کنند تا اطمینان حاصل کنند که پچ در دستگاه‌های کاربر نهایی توزیع می‌شود .

یافته محققین شرکت امنیت سایبری فارادی سکیوریتی مستقر در آرژانتین توسط Realtek برای کشف این آسیب‌پذیری تأیید شده است . محقق فارادی ، اکتاویو جیاناتیمپو ، که در حال ارائه جزئیات یافته‌ها در روز جمعه در کنفرانس DEF CON در لاس وگاس است ، قبل از این رویداد اطلاعاتی را با خبرگزاری‌های حوزه امنیت سایبری به اشتراک گذاشت .

این محقق گفت که این آسیب‌پذیری می‌تواند از راه دور (مستقیماً از اینترنت) برای هک کردن روتر‌های آسیب‌دیده که با تنظیمات پیش‌فرض اجرا می‌شوند مورد سواستفاده قرار گیرد . و نکته قابل توجه اینکه هیچ تعامل کاربری برای بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری مورد نیاز نیست .

وی توضیح داد : «کد آسیب‌پذیر بخشی از استک شبکه است که اگر دستگاه به اینترنت متصل باشد ، مهاجم فقط باید یک پکت ارسال کند تا کنترل دستگاه را در دست بگیرد .»

جیاناتیمپو گفت که آن‌ها تقریباً ۲۰ تأمین‌کننده را شناسایی کرده‌اند که از SDK آسیب‌پذیر برای محصولات خود استفاده می‌کنند ، از جمله Tenda ، Nexxt ، Intelbras و  D-Link . با این حال ، ممکن است تأمین‌کنندگان دیگری نیز وجود داشته باشند که تحت تأثیر این آسیب‌پذیری هستند اما هنوز آن‌ها شناسایی نشده‌اند .

جیاناتیمپو خاطرنشان کرد : «فرآیند شناسایی محصولات OEM آسیب‌دیده به دلیل عدم رؤیت زنجیره تأمین آن‌ها ، بسیار نگران‌کننده است .»

در حالی که هیچ نشانه‌ای مبنی بر سواستفاده از این نقص در فضای سایبری وجود ندارد ، ممکن است تعداد قابل توجهی از دستگاه‌ها به دلیل این آسیب‌پذیری در معرض حملات قرار گیرند ، بنابراین چنین مشکلی ممکن است برای عاملان مخرب بسیار وسوسه‌انگیز باشد .

فارادی جستجوی Shodan را انجام داده و بیش از ۶۰۰۰۰ روتر آسیب‌پذیر را شناسایی کرده است که پنل مدیریت آن‌ها در معرض دید قرار گرفته است . علاوه بر این ، Mercadolibre ، بزرگترین سایت تجارت الکترونیک در آمریکای لاتین ، بر اساس پیشخوان فروش نمایش داده شده در صفحات محصول، ۱۳۰۰۰۰ دستگاه تحت تأثیر این آسیب‌پذیری را فروخته است . همچنین آنطور که در گزارش ها مشاهده گردیده ، ایران نیز در بین مخاطبان این آسیب پذیری قرار دارد .

جیاناتیمپو توضیح داد : «پنل ادمین به طور پیش فرض فعال نیست، بنابراین تعداد کل دستگاه‌های در معرض نمایش باید بیشتر باشد . شناسایی از راه دور روتر‌های آسیب‌دیده مستلزم راه‌اندازی این آسیب‌پذیری است که خارج از محدوده تحقیقاتی ما است .»

عوامل تهدید برای هدف قرار دادن آسیب‌پذیری‌های Realtek SDK در حملات خود شناخته شده‌اند . سال گذشته نیز محققان بهره‌برداری از یک نقص را تنها چند روز پس از افشای آن مشاهده کردند .

بیشتر بخوانید

متاورس و تهدیدات امنیت سایبری آن

متاورس چیست ؟ متاورس این روز‌ها مطمئناً تبدیل به موضوع داغی شده است ! Metaverse را می‌توان به قول Trend Micro، اینترنت تجربیات (IoX) یا Internet of Experiences بیان کرد. با این حال ، با تکامل مفهوم ، تعاریف متاورس نیز تغییر خواهد کرد . اکنون ، این فضا تحت تسخیر تهدیدات بالقوه امنیت سایبری است که در زیر مشخص شده است .

ان‌اف‌تی‌ها (NFT)
اساساً NFT‌ها قبلاً از حملات سایبری زیادی از سوی انواع عاملان تهدید رنج می‌بردند . مسائل امنیتی مربوط به NFT‌ها شامل انتقال دارایی و کلاهبرداران شبیه‌سازی NFT با تغییر چند بیت داده در فایل محافظت شده است . در ماه می‌ ، مهاجمانی پیدا شدند که از طریق پیشنهاد‌های شغلی جعلی ، کاربران Pixiv و DeviantArt را در ژاپن هدف قرار داده بودند . این پیشنهاد‌ها وانمود می‌کردند که از پروژه Cyberpunk Ape Executives NFT آمده و دستگاه‌های قربانی را با دزد‌های اطلاعاتی آلوده می‌کردند .

کلاهبرداری مالی
پیش‌بینی می‌شود حجم بالای تراکنش‌های مالی بسیار بالای متاورس مجرمان سایبری را که سعی در سرقت پول و دارایی‌های دیجیتالی دارند ، جذب خود کند . محققان دریافتند که اعتبار نامه‌های مالی دومین پتانسیل درآمدزایی برای عاملان تهدید را دارند و فقط حساب‌های سایت بازی قبل از آن‌ها در رده اول قرار دارند .

مهندسی اجتماعی یا Social Engineering
اخیراً حملات فیشینگ و ضربه زدن با استفاده از تاکتیک‌های مهندسی اجتماعی در بین مجرمان سایبری بسیار محبوب شده است . به عنوان مثال ، متا ادعا کرد که علیه دو کمپین مجزای جاسوسی سایبری (که توسط Bitter APT و Transparent Tribe) در پلتفرم‌های رسانه‌های اجتماعی خود اداره می‌شوند ، اقدام کرده است . از آنجایی که متاورس به مرز‌های فیزیکی محدود نمی‌شود ، تعداد بیشتری از مردم در معرض کلاهبرداران جهانی و حملات مهندسی اجتماعی قرار خواهند گرفت .

حملات متعارف IT
در حالی که متاورس قرار است سطح حمله را گسترش دهد ، تهدیدات امنیتی سایبری سنتی ، از جمله DDoS ، باج‌افزار ، و حملات خاص ابری ، و غیره ، همچنان بیداد خواهند کرد .

کلام پایانی
با سرمایه‌گذاری‌های هنگفتی که در فضای متاورس انجام شده است ، اکنون لازم است طراحی و اجرای اقدامات امنیتی مربوطه به آن آغاز شود . از آنجایی که این مفهوم هنوز در حال تکامل است ، ایجاد استراتژی‌های امنیتی مناسب برای آن ، یک چالش محسوب می‌شود . با این حال، پیش‌بینی این تهدیدات امنیت سایبری و اقدام پیشگیرانه به ایمن ماندن از مخاطرات کمک می‌کند .

بیشتر بخوانید

گرگ در لباس میش

بدافزار چگونه کاربران و آنتی ویروس را فریب می‌دهد

اخبار داغ فناوری اطلاعات و امنیت شبکه

از ترفندهایی که توزیع‌کنندگان بدافزار جهت آلوده‌کردن سیستم‌ها استفاده می‌کنند، فریب دادن قربانیان به دانلود و اجرای فایل‌های مخرب است که این مقاله به بررسی آنها می‌پردازد.

برخی از این ترفندها شامل مخفی کردن فایل‌های اجرایی بدافزار در قالب برنامه‌های کاربردی متداول، امضای آن‌ها با گواهی‌نامه‌های معتبر یا حتی هک نمودن سایت‌های قابل اعتماد جهت سوءاستفاده و بکارگیری از آنها به عنوان نقاط توزیع فایل‌های مخرب می‌باشد.

به گزارش سایت پویش و تحلیل بدافزار VirusTotal، برخی از این ترفندها در مقیاسی بسیار بزرگتر از آنچه در ابتدا تصور می‌شد اتفاق می‌افتند. سایت VirusTotal هر فایل ارسالی از سوی کاربران را در اکثر ضدویروس‌های مطرح بررسی کرده و گزارش شناسایی یا عدم شناسایی آن‌ها را در اختیار کاربر قرار می‌دهد.

سایت VirusTotal، گزارشی را در بازه زمانی ۱۲ دی ۱۳۹۹ تا ۱۰ تیر ۱۴۰۱ بر اساس دو میلیون فایل ارسالی از سوی کاربران در روز، گردآوری نموده و روند نحوه توزیع بدافزار را نشان می‌دهد.

بهره‌جویی از دامنه‌های معتبر

توزیع بدافزار از طریق ‌سایت‌های معتبر، محبوب و با رتبه بالا به مهاجمان این امکان را می‌دهد تا فهرست‌های مسدود شده مبتنی بر IP را دور بزنند و همواره در دسترس باشند و سطح اعتماد بیشتری را جلب کنند.

سایت VirusTotal، بر اساس فهرست هزار سایت محبوب و برتر (Alexa top 1000 websites) و از میان ۱۰۱ دامنه متعلق به این سایت‌ها، ۲.۵ میلیون فایل مشکوک دانلود شده را شناسایی کرد. قابل‌توجه‌ترین موردی که از آن بیشترین سوءاستفاده صورت گرفته، Discord است که به کانون توزیع بدافزار تبدیل شده است. پس از آن سرویس‌دهنده میزبانی کننده سرورها و خدمات ابری Squarespace و Amazon در رتبه‌های بعدی قرار دارند.

استفاده از گواهی‌‌نامه‌های معتبر سرقت شده

امضای نمونه‌های بدافزاری با گواهی‌نامه‌های معتبر سرقت شده، روشی دیگر جهت فرار از تشخیص توسط ضدویروس‌ها و هشدارهای صادر شده از سوی راهکارهای امنیتی است.

در میان تمام نمونه‌های مخرب آپلود شده در VirusTotal در بازه زمانی مذکور، بیش از یک میلیون مورد امضاء شده و ۸۷٪ از آنها از یک گواهی‌نامه‌ معتبر استفاده کرده‌اند. گواهی‌نامه‌های رایج بکارگرفته شده در امضای نمونه‌های مخرب ارسال شده به سایت مذکور عبارتند از Sectigo ،DigiCert ،USERTrust و Sage South Africa.

مخفی شدن در قالب نرم‌افزارهای معتبر و محبوب

مخفی کردن یک بدافزار قابل اجرا در قالب یک برنامه‌کاربردی معتبر و محبوب در سال ۲۰۲۲ روند صعودی داشته است.

قربانیان با تصور اینکه برنامه‌های مورد نیاز خود را دریافت می‌کنند، این فایل‌ها را دانلود کرده، اما با اجرای فایل‌های نصب‌کننده نرم‌افزار، سیستم‌های خود را به بدافزار آلوده می‌کنند. برنامه‌های کاربردی که مهاجمان بیشترین سوءاستفاده را از آنها کرده‌اند اغلب دارای نشان (Icon) مربوط به محصولات Skype ،VLC ، Adobe Acrobat و ۷zip می‌باشند.

برنامه محبوب بهینه‌سازی Windows به نام CCleaner که اخیراً در کارزاری مورد بهره‌جویی قرار گرفته نیز یکی از گزینه‌های محبوب هکرها است و نسبتاً آلودگی و توزیع فوق العاده بالایی را به دنبال داشته است.

مهاجمان در کارزار مذکور از تکنیک‌های موسوم به Black Hat SEO پیروی کردند تا ‌سایت‌های بکارگرفته شده جهت توزیع بدافزار خود را در نتایج جستجوی Google در رتبه‌بندی بالایی قرار دهند و به این ترتیب افراد بیشتری فریب خورده و فایل‌های اجرایی مخرب را دانلود کنند.

فریب کاربران از طریق فایل‌های نصب معتبر

در نهایت، ترفند دیگر پنهان کردن بدافزار در فایل‌های نصب برنامه‌های معتبر و اجرای پروسه هک در پس‌زمینه (Background) در حالی که برنامه‌های واقعی در پیش‌زمینه (Foreground) در حال اجرا هستند، می‌باشد. این تکنیک ضمن فریب قربانیان منجر به بی‌اثر شدن برخی موتورهای ضدویروس که ساختار و محتوای فایل‌های اجرایی را بررسی نمی‌کنند، می‌شود.

بر اساس آمار VirusTotal، به نظر می‌رسد که این روش امسال نیز در حال افزایش است و از Google Chrome ،Malwarebytes ،Windows Updates ،Zoom ، Brave ،Firefox ،ProtonVPN و Telegram به عنوان طعمه استفاده می‌کنند.

چگونه ایمن بمانیم؟

هنگامی که به دنبال دانلود نرم‌افزار هستید، یا از فروشگاه موجود در سیستم‌عامل خود استفاده کنید یا آن را از صفحه دانلود رسمی برنامه، دریافت نمایید. همچنین، مراقب تبلیغاتی که در نتایج جستجو ممکن است رتبه بالاتری داشته باشند، باشید زیرا سایت‌ها به راحتی توسط مهاجمان قابل جعل هستند و کاملاً شبیه سایت‌های معتبر به نظر می‌رسند.

پس از دانلود یک فایل نصب‌کننده نرم‌افزار، همیشه قبل از اجرای فایل، یک پویش ضدویروس بر روی آن انجام دهید تا مطمئن شوید که حاوی بدافزار نیستند. در نهایت، از بکارگیری نسخه‌های کرک شده، نرم‌افزارهای قفل شکسته و غیرمجاز خودداری کنید زیرا معمولاً منجر به انتقال بدافزار می‌شوند.

 

بیشتر بخوانید

کاربران QNAP در میانه دو کمپین باج‌افزاری Blitz

تامین کننده تایوانی QNAP اواخر هفته گذشته هشداری درباره تهدیدی حیاتی از سوی گونه DeadBolt منتشر کرد که به نظر می‌رسد کاربرانی را که از نسخه‌های قدیمی QTS 4.x استفاده می‌کنند، هدف قرار می‌دهد و به نظر می‌رسد این مشتریان در میانه دو کمپین باج‌افزار گرفتار شده‌اند.

شرکت Qnap در این بیانیه آورده است : “برای ایمن کردن NAS خود، ما قویاً توصیه می‌کنیم که QTS یا QuTS hero را فوراً به آخرین نسخه به روز کنید.”

«اگر NAS شما قبلاً به خطر افتاده است، اسکرین شات از یادداشت باج بگیرید تا آدرس بیت کوین حفظ شود، سپس به آخرین نسخه سیستم عامل ارتقا دهید و برنامه داخلی حذف بدافزار به طور خودکار یادداشت درخواست باج را که صفحه ورود را دزدیده است، قرنطینه می‌کند. ”

مضاف بر آن، محققان امنیتی نسبت به تجدید حیات کمپین eCh0raix که همان دستگاه‌ها را هدف قرار می‌دهد، هشدار داده‌اند.

کارستن هان، تحلیلگر بدافزار G Data، این یافته را در توییتر اعلام کرد. طبق گفته ویروس توتال، این باج‌افزار که با نام QNAPCrypt نیز شناخته می‌شود، در حال حاضر تنها توسط ۲۸ تأمین‌کننده از ۵۸ تأمین‌کننده شناسایی می‌شود.

در زمان نگارش این مقاله هیچ خبری از QNAP وجود نداشت، اما مطمئناً این اولین باری نیست که دستگاه‌های آن توسط هر دو نوع هدف قرار می‌گیرند.

در واقع، در ماه می‌سال جاری میلادی، این تأمین‌کننده در اطلاعیه‌ای هشدار داد که دستگاه‌هایی که از گذرواژه‌های ضعیف یا سیستم‌افزار قدیمی QTS استفاده می‌کنند، ممکن است مستعد حمله باشند.

برای جلوگیری از به خطر افتادن، به مشتریان توصیه شده است که از رمز‌های عبور قوی‌تر برای حساب‌های ادمین استفاده کنند. حفاظت از دسترسی IP را برای کاهش خطر حملات brute force فعال نمایند. از استفاده از پورت‌های ۴۴۳ و ۸۰۸۰ خودداری کرده و QTS و همه برنامه‌های مرتبط را به آخرین نسخه‌ها به روز کنند.

در همان ماه، QNAP یک هشدار امنیتی جداگانه درباره کمپین DeadBolt قبلی صادر کرد. DeadBolt همچنین در ژانویه امسال حمله کرد.

باد برومهد، مدیر عامل Viakoo، توضیح داد که حدود ۱۰ مورد از ۷۰۰+ آسیب‌پذیری شناخته شده CISA که مورد سواستفاده قرار گرفته‌اند، QNAP را تحت تأثیر قرار می‌دهند.

وی افزود: «دستگاه‌های QNAP برای مجرمان سایبری بسیار جذاب هستند؛ استراتژی آن‌ها این است که از تعداد زیادی از قربانیان مقدار کمی پول بخواهند، در حالی که از تعداد کمی از قربانیان درخواست مبالغ زیاد می‌کنند».

۹۰۰ دلاری که به عنوان باج درخواست می‌شود در سطحی است که بسیاری از اپراتور‌های دستگاه‌ها به جای مشارکت دادن تیم‌های فناوری اطلاعات یا امنیتی خود، پرداخت باج را انتخاب می‌کنند و به طور بالقوه با عواقب داخلی ناشی از عدم نصب صحیح و ایمن‌سازی دستگاه‌ها مواجه می‌شوند.

بیشتر بخوانید

سواستفاده هکر‌های چینی از باگ zero-day در فایروال سوفوس

هکر‌های چینی از یک اکسپلویت روز صفر (zero-day) برای یک آسیب‌پذیری با شدت بحرانی در فایروال سوفوس سواستفاده می‌کنند. آن‌ها یک شرکت بزرگ را به خطر انداخته و به سرور‌های وب میزبانی شده در فضای ابری که توسط قربانی مدیریت می‌شد، نفوذ کردند.

سواستفاده از روز صفر

مجموعه Volexity یک حمله از یک گروه APT چینی را فاش کرد که تحت عنوان DriftingCloud معرفی شده است. عامل تهدید از اوایل ماه مارس، فقط سه هفته قبل از انتشار یک پچ توسط Sophos، از نقص CVE-۲۰۲۲-۱۰۴۰ RCE سواستفاده کرده است.

در ماه مارس، Sophos یک توصیه امنیتی درباره این نقص RCE منتشر کرد که بر پورتال کاربر و وب‌ادمین فایروال Sophos تأثیر می‌گذارد.

سه روز بعد، این تأمین‌کننده فایروال هشدار داد و فاش کرد که مجرمان سایبری از این نقص امنیتی برای هدف قرار دادن سازمان‌های مختلف در آسیا سواستفاده می‌کنند.

مهاجمان از نقص‌های روز صفر برای به خطر انداختن فایروال برای نصب webshell backdoors و بدافزار‌ها برای فعال کردن سیستم‌های بیرونی خارج از شبکه محافظت شده توسط Sophos Firewall سواستفاده نمودند.

اطلاعات بیشتر

مهاجم از فریمورک Behinder استفاده می‌کرده که گمان می‌رود توسط سایر گروه‌های APT چینی که از نقص CVE-۲۰۲۲-۲۶۱۳۴ در سرور‌های Confluence استفاده می‌کردند، استفاده می‌شد.

دسترسی به فایروال Sophos اولین گام در حمله است که با تغییر پاسخ‌های DNS برای وب سایت‌های خاص شرکت‌های قربانی، حمله Man-in-the-Middle (MitM) را فعال می‌کند.

مهاجم با استفاده از کوکی‌های سِشِن به سرقت رفته با موفقیت به صفحات مدیریت CMS دسترسی پیدا می‌کند و متعاقباً یک افزونه مدیریت فایل را برای دستکاری فایل‌ها در وب‌سایت نصب می‌کند.

راه حل
سوفوس این نقص را برطرف کرده و اقدامات کاهشی و ضروری را برای کمک به سازمان‌ها در استفاده از فایروال و محافظت در برابر عوامل تهدید که از آسیب‌پذیری سواستفاده می‌کنند، ارائه کرد.

بیشتر بخوانید

تاکتیک‌های اساسی برای محافظت از اکوسیستم‌های‌ ایمیل

از آنجایی که امنیت‌ ایمیل یک چشم انداز همیشه در حال تغییر است، تمرکز بر مرتبط‌ترین مسائل در چشم انداز تهدید، جایی است که سازمان‌ها باید از آن شروع کنند.

بنابراین، کدام تاکتیک‌های‌ ایمیل مرتبط‌ترین و مبرم‌ترین مسائلی هستند که باید روی آن تمرکز کنیم؟ بر اساس بینش‌های Cofense، این سه نوع حمله از سال ۲۰۲۱ رایج‌ترین آن‌ها بوده‌اند:

• فیشینگ اعتبارنامه
• به خطر انداختن‌ ایمیل تجاری (BEC)
• بدافزار‌ها

به گفته تحلیلگران مرکز دفاع فیشینگ Cofense، فیشینگ اعتبارنامه، حدود ۷۰ درصد از تمام حملات را تشکیل می‌دهد که BEC با ۷ درصد پشت سر این حملات قرار می‌گیرد و بدافزار (به همراه چند مورد دیگر) بقیه موارد را تشکیل می‌دهند. وقتی به آن اعداد نگاه می‌کنید و آن‌ها را با مواردی که در طول یک حمله فیشینگ اعتبارنامه موفقیت‌آمیز کنار گذاشته می‌شوند ترکیب می‌کنید، مشخص می‌شود که توقف حملات اعتبارنامه‌ای باید در اولویت باشد. این بدان معنا نیست که توقف حملات BEC و بدافزار مهم نیست، بلکه قطعاً مهم هستند. حملات موفق، مانند حملات باج‌افزاری، اغلب برای مهاجم بسیار سودآور و برای قربانی بسیار دردناک و پرخطر هستند.

برای هر سه این حملات، چند تاکتیک اساسی وجود دارد که سازمان‌ها باید اتخاذ کرده تا اطمینان حاصل کنند که از اکوسیستم‌ ایمیل خود محافظت می‌نمایند.

آموزش کاربران
حملات فیشینگ اعتبارنامه به دنبال سرقت نام‌های کاربری و رمز‌های عبور هستند و اغلب با استفاده از نمایش‌های جعلی از صفحات ورود واقعی انجام می‌شوند. بنابراین آموزش کاربران بسیار مهم بوده و اولین و بهترین گام برای ایمن نگه داشتن یک شرکت است. آموزش در زمینه تجارت واقعی بسیار کلیدی است، زیرا در صنعت تمایل بیشتری به تمرکز بر حجم نسبت به کیفیت وجود دارد. به عبارت دیگر، وقت کارمندان خود را با شبیه‌سازی‌های آموزشی که مرتبط نیستند تلف نکنید و به جای آن مستقیماً به سراغ آنچه که باید بدانند بروید.

این مسأله در مورد تهدیدات BEC و بدافزار نیز صادق است. پیوست‌های طرف‌های ناشناس خارجی همیشه مشکوک هستند و کسی که از طرف یکی از مدیران شرکت درخواست کارت‌های هدیه، حواله‌های وایری، کلاهبرداری‌های عاشقانه یا سایر تراکنش‌های مالی می‌کند، هرگز نباید بررسی و دانلود شود. تمام این انواع حملات در وهله اول توسط کارکنان آموزش داده می‌شود.

گزارش‌دهی
رویکرد دوم این است که اطمینان حاصل شود که کارمندان می‌توانند با مشاهده یک تهدید، آن را گزارش کنند. مرکز عملیات امنیتی شما (SOC) نمی‌تواند به آنچه که نمی‌بیند پاسخ دهد، بنابراین یک قابلیت گزارش‌دهی به SOC شما این امکان را می‌دهد تا دید مورد نیاز را به آنچه از طریق‌ ایمیل برای شما ارسال می‌شود داشته باشد. قابلیت‌های گزارش‌دهی حیاتی هستند، بنابراین یکی را انتخاب کنید که به راحتی استقرار یابد، از طیف وسیعی از پلتفرم‌ها در سازمان شما پشتیبانی کند، بتواند در هنگام گزارش شبیه‌سازی به کاربران بازخورد ارائه کند، و مهمتر از همه، ‌ ایمیل کامل را برای تجزیه و تحلیل به باکس سواستفاده‌های SOC ارائه دهد.

پاسخ سریع
رویکرد سوم ایجاد یک قابلیت واکنش سریع است که به شما امکان می‌دهد یک تهدید واقعی را جهت‌گیری کنید و به سرعت به آن پاسخ دهید. اگر هم بتوانید “عامل مخرب و بد” را شناسایی کنید و هم به “عامل مخرب و بد” پاسخ دهید، بنابراین تهدید را خنثی یا محدود کنید، سازمان خود را از یک حمله نجات داده‌اید. این فقط به گزارشگر یک‌ ایمیل بالقوه مخرب محدود نمی‌شود، بلکه به همه گیرندگان آن‌ ایمیل مربوط می‌شود. اکثر حملات بیش از یک‌ ایمیل را به یک شرکت ارسال می‌کنند، بنابراین اگر یکی از آن‌ها را پیدا کرده‌اید، احتمالاً‌ ایمیل بیشتری در راه دارید. یافتن‌ ایمیل‌های دیگر زمانی مهم است که نخواهید تهدیدی در صندوق ورودی کاربران وجود داشته باشد.

تجزیه و تحلیل پس از دریافت
در نهایت، قابلیت‌های موقعیت‌یابی که می‌توانند تکامل یابند و تهدید‌ها را بطور فعال شناسایی کنند، خطر را حتی بیشتر کاهش می‌دهد. دروازه‌های‌ ایمیل امن (Secure Email Gateway) یا SEG‌ها، یکی از روش‌ها هستند، اما ما به طور مداوم می‌بینیم که تهدید‌ها از این دروازه‌ها عبور می‌کنند، بنابراین نیاز به تجزیه و تحلیل و قابلیت‌های پاسخ پس از تحویل را الزامی می‌کنند. هر SEG موجود در بازار امروز دارای نقاط ضعفی است.

به‌طور سنتی، شرکت‌ها SEG‌ها را به‌صورت سری روی هم قرار می‌دهند تا احتمال شناسایی یک تهدید را افزایش دهند؛ که یک راه حل تجزیه و تحلیل پس از تحویل، که با دانش درباره آنچه در تمام SEG‌ها وجود دارد، از نظر عملکردی مؤثرتر و همچنین مقرون به صرفه‌تر است.

درک رایج‌ترین تهدید‌ها برای تعیین محل مصرف انرژی و منابع محدود، بسیار مهم است. همه انواع حملات‌ ایمیل خطرناک هستند، اما با آموزش، گزارش، تجزیه و تحلیل، شناسایی و پاسخ به خوبی اجرا شده، خطر تسلیم شدن در برابر هر یک از رویکرد‌های حمله‌ ایمیلی که در مورد آن صحبت کردیم را می‌توان کاهش داد.

بیشتر بخوانید