بزرگترین حمله HTTPS DDOS ثبت شده توسط گوگل با ۴۶ میلیون درخواست در ثانیه

بنا بر گزارش‌ها ، Google با بزرگترین حمله DDoS در تاریخ علیه یکی از مشتریان خود هدف قرار گرفته است . حمله‌ای به یکی از مشتریان Google Cloud Armor در ۱ ژوئن رخ داد که طی آن ۴۶ میلیون درخواست در هر ثانیه توسط حملات HTTPS DDoS برای یک مشتری Google Cloud Armor ارسال شد .

این قدرتمندترین حمله DDoS لایه ۷ است که تا به امروز گزارش شده و حداقل ۷۶٪ از رکورد قبلی فراتر رفته است .

این معادل دریافت تمام درخواست‌های روزانه به ویکی‌پدیا در تنها چند ثانیه است ، بنابراین می‌توانید به راحتی مقیاس حمله را درک کنید .

با شناسایی و تجزیه و تحلیل ترافیک در اوایل چرخه حمله ، Cloud Armor Adaptive Protection توانست از موفقیت حمله جلوگیری کند .

یک قانون حفاظتی توسط Cloud Armor به مشتری توصیه شده بود که قبل از اینکه حمله به حد کامل برسد به مشتری ارائه شد .

با کمک Cloud Armor، خدمات مشتری به صورت آنلاین نگه داشته شد و کاربران نهایی آن توانستند به دریافت خدمات ادامه دهند .

حمله طولانی مدت
این حادثه حوالی ساعت 09:45 به وقت اقیانوس آرام در تاریخ ۱ ژوئن اتفاق افتاد و گمان می‌رود که یک حمله مبتنی بر وب باشد . در راستای تلاش برای به خطر انداختن تعادل لود HTTP/S قربانی ، مهاجم در ابتدا توانسته بود تنها ۱۰۰۰۰ درخواست در ثانیه ایجاد کند .

در عرض هشت دقیقه پس از شروع حمله ، این عدد به ۱۰۰۰۰۰ RPS افزایش یافت . پس از دریافت داده‌های خاصی که از تجزیه و تحلیل ترافیک Google استخراج شده بود، Cloud Armor Protection یک هشدار و‌ شناسه ایجاد کرد که بر اساس داده‌ها شروع به کار کرد .

اوج ۴۶ میلیون درخواست در ثانیه دو دقیقه بعد در نتیجه حمله بود . به لطف توصیه Cloud Armor، مشتری قبلاً این قانون را برای فعال کردن عملکرد عادی اعمال کرده بود و نهایتاً در ۶۹ دقیقه پس از شروع حمله، این حمله رکوردشکن به پایان رسید .

این هشدار شامل توصیه‌ای برای قاعده‌ای بود که می‌توان از آن برای مسدود کردن امضا‌ها با نیت مخرب استفاده کرد .

در مجموع ، ۵۲۵۶ آدرس IP منبع در ۱۳۲ کشور در سراسر جهان درگیر این حمله بودند . حدود ۳۱ درصد از کل ترافیک حمله توسط ۴ کشور بزرگ ایجاد شده است .

هنوز هیچ اطلاعاتی در مورد بدافزاری که پشت این حمله است وجود ندارد . اما به نظر می‌رسد بات نت Mēris محتمل‌ترین ارائه دهنده این خدمات بر اساس توزیع جغرافیایی استفاده از آن‌ها باشد .

استفاده از نود‌های خروج Tor به عنوان مکانیزم تحویل ترافیک یکی دیگر از ویژگی‌های این حمله است . به گفته محققان گوگل، مقدار قابل توجهی از ترافیک ناخواسته را می‌توان از طریق نود‌های خروج Tor تحویل داد .

علاوه بر این ، رشد مداوم در اندازه حمله و تکامل تاکتیک‌ها در چند سال آینده وجود خواهد داشت . بنابراین، کاربران باید مکانیسم‌های امنیتی قوی را برای دفاع و کاهش چنین حملاتی به کار گیرند .

بیشتر بخوانید

آسیب‌پذیری صد‌ها هزار روتر نسبت به حملات از راه دور بعلت نقص Realtek SDK

یک آسیب‌پذیری جدی که بر روی eCos SDK ساخته شده توسط شرکت سمی‌کانداکتور تایوانی Realtek تأثیر می‌گذارد ، می‌تواند دستگاه‌های شبکه بسیاری از تأمین‌ کنندگان را در معرض حملات از راه دور قرار دهد .

این حفره امنیتی که تحت عنوان CVE-2022-27255 ردیابی می‌شود و دارای درجه «شدت بالا» است ، به‌عنوان یک سرریز بافر مبتنی بر استک توصیف شده است که می‌تواند به مهاجم راه دور اجازه دهد تا در دستگاه‌هایی که از SDK استفاده می‌کنند ، خرابی ایجاد کند یا به اجرای کد دلخواه دست یابد . یک چنین حمله‌ای را می‌توان از طریق رابط WAN با استفاده از پکت‌های SIP ساخته و طراحی شده ، انجام داد .

اساساً Realtek eCos SDK به شرکت‌هایی ارائه می‌شود که روتر‌ها ، اکسس پوینت‌ها و ریپیتر‌هایی که توسط SoC‌های خانواده RTL819x تولید می‌کنند ، ارائه می‌شود . SDK عملکرد‌های پایه روتر ، از جمله اینترفیس مدیریت وب و استک شبکه را پیاده‌ سازی می‌کند . تأمین‌کنندگان می‌توانند در ادامه آن این SDK را ایجاد کنند تا عملکرد‌های سفارشی و نام تجاری خود را به دستگاه اضافه کنند .

مجموعه Realtek در ماه مارس و زمانی که انتشار یک پچ را اعلام کرد ، مشتریان را در مورد آسیب‌پذیری eCos SDK مطلع کرد . با این حال ، این مربوط به OEM‌هایی است که از SDK استفاده می‌کنند تا اطمینان حاصل کنند که پچ در دستگاه‌های کاربر نهایی توزیع می‌شود .

یافته محققین شرکت امنیت سایبری فارادی سکیوریتی مستقر در آرژانتین توسط Realtek برای کشف این آسیب‌پذیری تأیید شده است . محقق فارادی ، اکتاویو جیاناتیمپو ، که در حال ارائه جزئیات یافته‌ها در روز جمعه در کنفرانس DEF CON در لاس وگاس است ، قبل از این رویداد اطلاعاتی را با خبرگزاری‌های حوزه امنیت سایبری به اشتراک گذاشت .

این محقق گفت که این آسیب‌پذیری می‌تواند از راه دور (مستقیماً از اینترنت) برای هک کردن روتر‌های آسیب‌دیده که با تنظیمات پیش‌فرض اجرا می‌شوند مورد سواستفاده قرار گیرد . و نکته قابل توجه اینکه هیچ تعامل کاربری برای بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری مورد نیاز نیست .

وی توضیح داد : «کد آسیب‌پذیر بخشی از استک شبکه است که اگر دستگاه به اینترنت متصل باشد ، مهاجم فقط باید یک پکت ارسال کند تا کنترل دستگاه را در دست بگیرد .»

جیاناتیمپو گفت که آن‌ها تقریباً ۲۰ تأمین‌کننده را شناسایی کرده‌اند که از SDK آسیب‌پذیر برای محصولات خود استفاده می‌کنند ، از جمله Tenda ، Nexxt ، Intelbras و  D-Link . با این حال ، ممکن است تأمین‌کنندگان دیگری نیز وجود داشته باشند که تحت تأثیر این آسیب‌پذیری هستند اما هنوز آن‌ها شناسایی نشده‌اند .

جیاناتیمپو خاطرنشان کرد : «فرآیند شناسایی محصولات OEM آسیب‌دیده به دلیل عدم رؤیت زنجیره تأمین آن‌ها ، بسیار نگران‌کننده است .»

در حالی که هیچ نشانه‌ای مبنی بر سواستفاده از این نقص در فضای سایبری وجود ندارد ، ممکن است تعداد قابل توجهی از دستگاه‌ها به دلیل این آسیب‌پذیری در معرض حملات قرار گیرند ، بنابراین چنین مشکلی ممکن است برای عاملان مخرب بسیار وسوسه‌انگیز باشد .

فارادی جستجوی Shodan را انجام داده و بیش از ۶۰۰۰۰ روتر آسیب‌پذیر را شناسایی کرده است که پنل مدیریت آن‌ها در معرض دید قرار گرفته است . علاوه بر این ، Mercadolibre ، بزرگترین سایت تجارت الکترونیک در آمریکای لاتین ، بر اساس پیشخوان فروش نمایش داده شده در صفحات محصول، ۱۳۰۰۰۰ دستگاه تحت تأثیر این آسیب‌پذیری را فروخته است . همچنین آنطور که در گزارش ها مشاهده گردیده ، ایران نیز در بین مخاطبان این آسیب پذیری قرار دارد .

جیاناتیمپو توضیح داد : «پنل ادمین به طور پیش فرض فعال نیست، بنابراین تعداد کل دستگاه‌های در معرض نمایش باید بیشتر باشد . شناسایی از راه دور روتر‌های آسیب‌دیده مستلزم راه‌اندازی این آسیب‌پذیری است که خارج از محدوده تحقیقاتی ما است .»

عوامل تهدید برای هدف قرار دادن آسیب‌پذیری‌های Realtek SDK در حملات خود شناخته شده‌اند . سال گذشته نیز محققان بهره‌برداری از یک نقص را تنها چند روز پس از افشای آن مشاهده کردند .

بیشتر بخوانید

متاورس و تهدیدات امنیت سایبری آن

متاورس چیست ؟ متاورس این روز‌ها مطمئناً تبدیل به موضوع داغی شده است ! Metaverse را می‌توان به قول Trend Micro، اینترنت تجربیات (IoX) یا Internet of Experiences بیان کرد. با این حال ، با تکامل مفهوم ، تعاریف متاورس نیز تغییر خواهد کرد . اکنون ، این فضا تحت تسخیر تهدیدات بالقوه امنیت سایبری است که در زیر مشخص شده است .

ان‌اف‌تی‌ها (NFT)
اساساً NFT‌ها قبلاً از حملات سایبری زیادی از سوی انواع عاملان تهدید رنج می‌بردند . مسائل امنیتی مربوط به NFT‌ها شامل انتقال دارایی و کلاهبرداران شبیه‌سازی NFT با تغییر چند بیت داده در فایل محافظت شده است . در ماه می‌ ، مهاجمانی پیدا شدند که از طریق پیشنهاد‌های شغلی جعلی ، کاربران Pixiv و DeviantArt را در ژاپن هدف قرار داده بودند . این پیشنهاد‌ها وانمود می‌کردند که از پروژه Cyberpunk Ape Executives NFT آمده و دستگاه‌های قربانی را با دزد‌های اطلاعاتی آلوده می‌کردند .

کلاهبرداری مالی
پیش‌بینی می‌شود حجم بالای تراکنش‌های مالی بسیار بالای متاورس مجرمان سایبری را که سعی در سرقت پول و دارایی‌های دیجیتالی دارند ، جذب خود کند . محققان دریافتند که اعتبار نامه‌های مالی دومین پتانسیل درآمدزایی برای عاملان تهدید را دارند و فقط حساب‌های سایت بازی قبل از آن‌ها در رده اول قرار دارند .

مهندسی اجتماعی یا Social Engineering
اخیراً حملات فیشینگ و ضربه زدن با استفاده از تاکتیک‌های مهندسی اجتماعی در بین مجرمان سایبری بسیار محبوب شده است . به عنوان مثال ، متا ادعا کرد که علیه دو کمپین مجزای جاسوسی سایبری (که توسط Bitter APT و Transparent Tribe) در پلتفرم‌های رسانه‌های اجتماعی خود اداره می‌شوند ، اقدام کرده است . از آنجایی که متاورس به مرز‌های فیزیکی محدود نمی‌شود ، تعداد بیشتری از مردم در معرض کلاهبرداران جهانی و حملات مهندسی اجتماعی قرار خواهند گرفت .

حملات متعارف IT
در حالی که متاورس قرار است سطح حمله را گسترش دهد ، تهدیدات امنیتی سایبری سنتی ، از جمله DDoS ، باج‌افزار ، و حملات خاص ابری ، و غیره ، همچنان بیداد خواهند کرد .

کلام پایانی
با سرمایه‌گذاری‌های هنگفتی که در فضای متاورس انجام شده است ، اکنون لازم است طراحی و اجرای اقدامات امنیتی مربوطه به آن آغاز شود . از آنجایی که این مفهوم هنوز در حال تکامل است ، ایجاد استراتژی‌های امنیتی مناسب برای آن ، یک چالش محسوب می‌شود . با این حال، پیش‌بینی این تهدیدات امنیت سایبری و اقدام پیشگیرانه به ایمن ماندن از مخاطرات کمک می‌کند .

بیشتر بخوانید

گرگ در لباس میش

بدافزار چگونه کاربران و آنتی ویروس را فریب می‌دهد

اخبار داغ فناوری اطلاعات و امنیت شبکه

از ترفندهایی که توزیع‌کنندگان بدافزار جهت آلوده‌کردن سیستم‌ها استفاده می‌کنند، فریب دادن قربانیان به دانلود و اجرای فایل‌های مخرب است که این مقاله به بررسی آنها می‌پردازد.

برخی از این ترفندها شامل مخفی کردن فایل‌های اجرایی بدافزار در قالب برنامه‌های کاربردی متداول، امضای آن‌ها با گواهی‌نامه‌های معتبر یا حتی هک نمودن سایت‌های قابل اعتماد جهت سوءاستفاده و بکارگیری از آنها به عنوان نقاط توزیع فایل‌های مخرب می‌باشد.

به گزارش سایت پویش و تحلیل بدافزار VirusTotal، برخی از این ترفندها در مقیاسی بسیار بزرگتر از آنچه در ابتدا تصور می‌شد اتفاق می‌افتند. سایت VirusTotal هر فایل ارسالی از سوی کاربران را در اکثر ضدویروس‌های مطرح بررسی کرده و گزارش شناسایی یا عدم شناسایی آن‌ها را در اختیار کاربر قرار می‌دهد.

سایت VirusTotal، گزارشی را در بازه زمانی ۱۲ دی ۱۳۹۹ تا ۱۰ تیر ۱۴۰۱ بر اساس دو میلیون فایل ارسالی از سوی کاربران در روز، گردآوری نموده و روند نحوه توزیع بدافزار را نشان می‌دهد.

بهره‌جویی از دامنه‌های معتبر

توزیع بدافزار از طریق ‌سایت‌های معتبر، محبوب و با رتبه بالا به مهاجمان این امکان را می‌دهد تا فهرست‌های مسدود شده مبتنی بر IP را دور بزنند و همواره در دسترس باشند و سطح اعتماد بیشتری را جلب کنند.

سایت VirusTotal، بر اساس فهرست هزار سایت محبوب و برتر (Alexa top 1000 websites) و از میان ۱۰۱ دامنه متعلق به این سایت‌ها، ۲.۵ میلیون فایل مشکوک دانلود شده را شناسایی کرد. قابل‌توجه‌ترین موردی که از آن بیشترین سوءاستفاده صورت گرفته، Discord است که به کانون توزیع بدافزار تبدیل شده است. پس از آن سرویس‌دهنده میزبانی کننده سرورها و خدمات ابری Squarespace و Amazon در رتبه‌های بعدی قرار دارند.

استفاده از گواهی‌‌نامه‌های معتبر سرقت شده

امضای نمونه‌های بدافزاری با گواهی‌نامه‌های معتبر سرقت شده، روشی دیگر جهت فرار از تشخیص توسط ضدویروس‌ها و هشدارهای صادر شده از سوی راهکارهای امنیتی است.

در میان تمام نمونه‌های مخرب آپلود شده در VirusTotal در بازه زمانی مذکور، بیش از یک میلیون مورد امضاء شده و ۸۷٪ از آنها از یک گواهی‌نامه‌ معتبر استفاده کرده‌اند. گواهی‌نامه‌های رایج بکارگرفته شده در امضای نمونه‌های مخرب ارسال شده به سایت مذکور عبارتند از Sectigo ،DigiCert ،USERTrust و Sage South Africa.

مخفی شدن در قالب نرم‌افزارهای معتبر و محبوب

مخفی کردن یک بدافزار قابل اجرا در قالب یک برنامه‌کاربردی معتبر و محبوب در سال ۲۰۲۲ روند صعودی داشته است.

قربانیان با تصور اینکه برنامه‌های مورد نیاز خود را دریافت می‌کنند، این فایل‌ها را دانلود کرده، اما با اجرای فایل‌های نصب‌کننده نرم‌افزار، سیستم‌های خود را به بدافزار آلوده می‌کنند. برنامه‌های کاربردی که مهاجمان بیشترین سوءاستفاده را از آنها کرده‌اند اغلب دارای نشان (Icon) مربوط به محصولات Skype ،VLC ، Adobe Acrobat و ۷zip می‌باشند.

برنامه محبوب بهینه‌سازی Windows به نام CCleaner که اخیراً در کارزاری مورد بهره‌جویی قرار گرفته نیز یکی از گزینه‌های محبوب هکرها است و نسبتاً آلودگی و توزیع فوق العاده بالایی را به دنبال داشته است.

مهاجمان در کارزار مذکور از تکنیک‌های موسوم به Black Hat SEO پیروی کردند تا ‌سایت‌های بکارگرفته شده جهت توزیع بدافزار خود را در نتایج جستجوی Google در رتبه‌بندی بالایی قرار دهند و به این ترتیب افراد بیشتری فریب خورده و فایل‌های اجرایی مخرب را دانلود کنند.

فریب کاربران از طریق فایل‌های نصب معتبر

در نهایت، ترفند دیگر پنهان کردن بدافزار در فایل‌های نصب برنامه‌های معتبر و اجرای پروسه هک در پس‌زمینه (Background) در حالی که برنامه‌های واقعی در پیش‌زمینه (Foreground) در حال اجرا هستند، می‌باشد. این تکنیک ضمن فریب قربانیان منجر به بی‌اثر شدن برخی موتورهای ضدویروس که ساختار و محتوای فایل‌های اجرایی را بررسی نمی‌کنند، می‌شود.

بر اساس آمار VirusTotal، به نظر می‌رسد که این روش امسال نیز در حال افزایش است و از Google Chrome ،Malwarebytes ،Windows Updates ،Zoom ، Brave ،Firefox ،ProtonVPN و Telegram به عنوان طعمه استفاده می‌کنند.

چگونه ایمن بمانیم؟

هنگامی که به دنبال دانلود نرم‌افزار هستید، یا از فروشگاه موجود در سیستم‌عامل خود استفاده کنید یا آن را از صفحه دانلود رسمی برنامه، دریافت نمایید. همچنین، مراقب تبلیغاتی که در نتایج جستجو ممکن است رتبه بالاتری داشته باشند، باشید زیرا سایت‌ها به راحتی توسط مهاجمان قابل جعل هستند و کاملاً شبیه سایت‌های معتبر به نظر می‌رسند.

پس از دانلود یک فایل نصب‌کننده نرم‌افزار، همیشه قبل از اجرای فایل، یک پویش ضدویروس بر روی آن انجام دهید تا مطمئن شوید که حاوی بدافزار نیستند. در نهایت، از بکارگیری نسخه‌های کرک شده، نرم‌افزارهای قفل شکسته و غیرمجاز خودداری کنید زیرا معمولاً منجر به انتقال بدافزار می‌شوند.

 

بیشتر بخوانید

هشدار افتا درباره بدافزار چاپلین

بدافزار جدیدی با نام چاپلین، به تازگی در زیرساخت‌های حیاتی، فعال شده که عامل وقوع حادثه سایبری و اختلالات اخیر بوده است.

به گزارش مرکز مدیریت راهبردی افتا ، بدافزار چاپلین (Chaplin)، به‌تازگی در زیرساخت‌های حیاتی، فعال شده که عامل وقوع حادثه سایبری و اختلالات اخیر بوده است. مرکز مدیریت راهبردی افتا اعلام کرد اجرای دستورات مخرب در CMD، تغییر تنظیمات امنیتی، تزریق به پردازه‌های معتبر ویندوز و تخریب، MBR سیستم از جمله قابلیت‌های این بدافزار است. دیگر ویژگی حایز اهمیت در بدافزار چاپلین، قابلیت خود انتشاری به شبکه‌های صنعتی است؛ بنابراین در صورتی‌که مجزاسازی شبکه IT از شبکه‌های صنعتی انجام نگرفته باشد، فعالیت مخرب‌گونه این بدافزار به شبکه صنعتی نیز سرایت و سامانه‌های کنترلی را در این شبکه‌ها، دچار اختلال می‌کند.

بدافزارچاپلین که توسعه آن از اوایل امسال آغاز شده است، از خانواده تروجان‌ها محسوب می‌شود. عدم تفکیک شبکه حیاتی از اینترنت (به خصوص شبکه IT از OT)، استفاده از نام کاربری و رمز عبور پیش‌فرض یا ساده و همچنین استفاده از نرم‌افزارهای آسیب‌پذیر (به‌خصوص در لبه اینترنت)، عواملی هستند که در پیشبرد اهداف طراحان بدافزار، نفوذ مهاجمان سایبری به زیرساخت‌های صنعتی و گسترش دامنه آلودگی نقش داشته‌اند.

این بدافزار، برای انتقال اطلاعات و ارتباط با خارج از شبکه سازمان، ترافیک غیرمتداول ICMP تولید می‌کند. با توجه به تمرکز حمله اخیر روی زیرساخت‌های صنعتی، ضروری است متولیان و مسئولان IT زیرساخت‌ها، شبکه‌های فناوری اطلاعات را از صنعتی جداسازی فیزیکی و اتصال غیرضروری سرویس‌ها را با اینترنت لغو کنند.

کارشناسان امنیت سایبری مرکز مدیریت رابردی افتا می‌گویند: لغو دسترسی‌های از راه دور (تا اطلاع ثانوی)، غیرفعال‌سازی حساب‌های کاربری غیرضروری و فعال‌سازی یا تغییر رمز عبور پیکربندی برای تمام PLCها و عدم استفاده از حافظه‌های جانبی USB از دیگر اقدامات مقابله با نفوذ و فعالیت بدافزارها و باج‌افزارهاست. مرکز مدیریت راهبردی افتا از متخصصان، کارشناسان و مدیران حوزه IT دستگاه‌ها و سازمان‌های دارای زیرساخت و شبکه‌های صنعتی سازمان‌ها خواسته است تا با مراجعه به این لینک با شاخص‌های آلودگی بدافزار Chaplin که تا کنون شناسایی شده‌اند و نحوه کارکرد سیستم‌های تشخیص نفوذ (IDS) این بدافزار، آشنا شوند.

مرکز ملی فضای مجازی، نیز روز گذشته اعلام کرد بخشی از سیستم های فناوری اطلاعات فولاد کشور مورد حمله سایبری دشمنان خارجی قرار گرفت و به تبع آن بخش‌هایی از فولاد هرمزگان و خوزستان نیز دچار اختلال در تولید شد که به سرعت سیستم‌های امنیتی نسبت به مهار و دفع آثار حمله سایبری مذکور اقدام کردند. مرکز ملی همچنین هرگونه اخبار در مورد حمله سایر مراکز را تکذیب کرد.

بیشتر بخوانید