malware که موجب ایجاد بک دور در اندروید است شناسایی شد! گوگل مشکل را حل می‌کند

گوگل تایید کرد که Cyberthieves توانست قبل از نصب نرم افزارهای مخرب به Backdoor چارچوب Android را مدیریت کند. به طور خلاصه، بدافزار به نظر می رسد که توسط گوگل در عمیق ترین نقطه در آندروید خوش شانس.

یکی از بزرگترین ترسهای امنیت تلفن همراه به تصویب رسیده است. گوگل هفته گذشته (6 ژوئن) تایید کرد که Cyberthieves توانست قبل از نصب نرم افزارهای مخرب به Backdoor چارچوب Android را مدیریت کند. به طور خلاصه، بدافزار به نظر می رسد که توسط گوگل در عمیق ترین نقطه در آندروید خوش شانس.

"در بستر برنامه Google Play، نصب به این معنی بود که [نرم افزارهای مخرب] نباید نصب را از منابع ناشناخته غیر فعال کنند و تمام نصب برنامه به نظر می رسید مانند آنها از Google Play بود"، لوکاس Siewierski از تیم امنیتی و حفظ حریم خصوصی اندروید نوشت ، در یک پست وبلاگ "برنامه ها از سرور C & C دانلود شد و ارتباط با C & C با استفاده از یک روال معمول رمزگذاری با استفاده از XOR و ZIP دوبار رمزگذاری شد. برنامه های دانلود شده و نصب شده از نام های بسته های برنامه های غیرمعمول موجود در Google Play استفاده کردند. هر گونه ارتباط با برنامه های موجود در Google Play از جمله همان نام بسته. "

سازمانی CISOs و سازمان های جامعه مدنی، همراه با CIO ها، کشف می کنند که اعتماد به شرکت های بزرگ سیستم عامل های تلفن همراه امروز - اپل و گوگل - برای رسیدگی به امنیت خود را از دست رفته بی احترامی است. با توجه به ماهیت اکوسیستم اپل (مجموع یک سازنده گوشی، که اجازه می دهد تا سیستم بسیار بیشتر بسته)، در iOS کمی امن تر است، اما فقط کمی.

با این حال، پذیرش جدید گوگل قطعا باعث می شود که اپل کمی در زمینه امنیت بهتر شود. این مسئله نه تنها با سیستم عامل نیست، هر دو سیستم عامل iOS و Android دارای کد منطقی امنیت سایبری هستند. این برنامه ها با برنامه های ارائه شده به شرکت ها و مصرف کنندگان از طریق تأسیسات برنامه رسمی تأیید شده است. جوانب مثبت شرکت در حال حاضر می دانند که نه اپل و نه گوگل به اندازه کافی برای تأیید امنیت برنامه ها تلاش می کنند. در بهترین حالت، هر دو برای مسائل مربوط به سیاست و کپی رایت به مراتب بیشتر از حضور نرم افزارهای مخرب هستند.

اما با برنامه های شخص ثالث درست برخورد می شود. برنامه هایی که به طور مستقیم از اپل و گوگل به فروش می رسند می توانند اعتماد کنند - یا تا زمانی که افشای Google انجام شود، تصور می شد.

حادثه ای که گوگل پذیرفته شد، دو سال پیش اتفاق افتاد، و در پست وبلاگ نمی توان گفت که چرا گوگل در آن زمان آن را اعلام نکرده بود یا اینکه چرا آن را در حال حاضر انتخاب کرده است. ممکن است گوگل قصد داشته باشد تا قبل از اعلام آن، این سوراخ را به اندازه کافی بسته باشد، اما دو سال زمان بسیار بدی برای شناختن این سوراخ جدی است و در مورد آن سکوت می کند.

پس چه اتفاقی افتاد؟ گوگل امتیازات زیادی برای انتشار جزئیات زیادی به دست می آورد. پیشینه داستان گوگل یک سال پیش از آن آغاز می شود - به طوری که، سه سال پیش - با مجموعه ای از برنامه های تبلیغاتی اسپم تبلیغاتی به نام Triada.

Siewierski نوشت: "هدف اصلی برنامه های Triada این بود که برنامه های اسپم بر روی یک دستگاه که تبلیغات را نمایش می داد نصب شود. "سازندگان Triada درآمد حاصل از تبلیغات نمایش داده شده توسط برنامه های اسپم جمع آوری شده است. روش Triada استفاده شد برای این نوع برنامه ها پیچیده و غیر معمول است. برنامه های Triada به عنوان ریشه کنی تروجان ها آغاز شده، اما به عنوان محافظت از Google Play محافظت در برابر سوء استفاده ریشه، برنامه های Triada مجبور به انطباق، پیشرفت به سیستم backdoor تصویر سیستم. "

سپس Siewierski روش متداول را توضیح می دهد: "اولین اقدام Triada برای نصب یک نوع پرونده باینری سوپرکاربر (su) بود. این باینری مجاز به برنامه های دیگر موجود در دستگاه اجازه استفاده از مجوزهای ریشه را داد. باینری سو استفاده شده توسط Triada نیاز به رمز عبور داشت منحصر به فرد در مقایسه با فایل های باینری منظم معمول با سایر سیستم های لینوکس منحصر به فرد است و باینری دو کلمه عبور را پذیرفته است: od2gf04pd9 و ac32dorbdq. بسته به اینکه کدام یک ارائه شده باشد، دستور باینری به عنوان یک argument به عنوان ریشه داده می شود یا تمام استدلال ها را به هم متصل می کند این concatenation قبل از SH، سپس آنها را به عنوان ریشه اجرا کرد. در هر صورت، برنامه باید بداند رمز عبور صحیح برای اجرای فرمان به عنوان ریشه. "

این برنامه با استفاده از یک سیستم پیشرفته پیچیده برای آزاد سازی فضای مورد نیاز، اما اجتناب از آن - تا آنجا که ممکن است - حذف هر چیزی که هشدار IT یا مصرف کننده را به یک مشکل. "تماشای وزن شامل چند مرحله و تلاش برای آزاد سازی فضای بر روی پارتیشن کاربر و پارتیشن سیستم کاربر است. با استفاده از لیست سیاه و سفید لیست برنامه ها، ابتدا همه برنامه ها را در لیست سیاه خود حذف کرد. اگر فضای بیشتری نیاز بود، همه را حذف می کرد برنامه های دیگر تنها برنامه های موجود در لیست سفید را ترک می کنند. این روند فضای آزاد را آزاد کرد و اطمینان حاصل کرد که برنامه های مورد نیاز برای عملکرد تلفن به درستی حذف نشده اند. " او همچنین اشاره کرد که "علاوه بر نصب برنامه هایی که تبلیغات را نمایش می دهند، Triada کد را به چهار مرورگر وب تزریق کرد: AOSP (com.android.browser)، 360 Secure (com.qihoo.browser)، Cheetah (com.ijinshan.browser_fast) و Oupeng (com.oupeng.browser). "

باج خواهی هکرهای شهر بالتیمور از آمریکا!

مردم بالتیمور هفته پنجم خود را تحت محاصره الکترونیکی آغاز می کنند که مانع از دریافت مجوز های ساختمانی و مجوز کسب و کار شده و حتی خرید و فروش خانه ها شده است. یک سال پس از اینکه هکرها سیستم ارسال سیستم اضطراری شهر را مختل کردند، کارکنان شهر در سراسر شهر نمیتوانند، از جمله موارد دیگر، از حسابهای ایمیل دولتی خود استفاده کنند یا تجارت منظم شهر را انجام دهند.

در این حمله، یک نوع نرم افزار مخرب به نام ransomware فایل های کلیدی را رمزگذاری کرده و آنها را غیر قابل استفاده می کند تا زمانی که شهر مهاجمان ناشناس 13 bitcoin را پرداخت کند یا حدود 76،280 دلار آمریکا را پرداخت کند. اما حتی اگر شهر پرداخت شود، هیچ تضمینی وجود ندارد که پرونده های آن تمام شود؛ بسیاری از حملات ransomware با اطلاعاتی که از دست داده اند، پایان می یابند.

حملات مشابه در سال های اخیر، خدمات ملی بهداشتی انگلیس را تحویل داده است، حمل و نقل غول پیکر Maersk و دولت های محلی، ایالتی و ایالت ایالت متحده در سراسر ایالات متحده و کانادا.

این نوع حملات بیشتر در حال تبدیل شدن و توجه بیشتر به رسانه ها است. صحبت کردن به عنوان یک حرفه حرفه ای در زمینه امنیت سایبری، جنبه های فنی حوادث مانند این، تنها بخشی از یک تصویر بسیار بزرگتر است. هر کاربر تکنولوژی باید نه تنها تهدیدات و آسیب پذیری ها را در نظر بگیرد، بلکه باید فرآیندهای عملیاتی، نقاط نقص احتمالی و نحوه استفاده از تکنولوژی را هر روزه در نظر بگیرند. فکر کردن به جلو و اقدامات محافظتی می تواند به کاهش اثرات حوادث سایبری در افراد و سازمان ها کمک کند.

نرم افزار طراحی شده برای حمله به رایانه های دیگر چیزی جدیدی نیست. ملل، شرکت های خصوصی، محققان و مجرمان فردی همچنان در حال توسعه این نوع برنامه ها برای طیف وسیعی از اهداف، از جمله جنگ های دیجیتال و جمع آوری اطلاعات و همچنین اخاذی توسط ransomware هستند.

بسیاری از تلاش های مخرب به عنوان یک عملکرد عادی و حیاتی از امنیت سایتی آغاز می شود: شناسایی آسیب پذیری های نرم افزاری و سخت افزاری که می تواند توسط مهاجم مورد سوء استفاده قرار گیرد. سپس محققان امنیتی به آسیب پذیری نزدیک می شوند. در مقابل، توسعه دهندگان نرم افزارهای مخرب، جنایی و غیره، متوجه خواهند شد که چگونه از طریق باز کردن آن کشف شده، کشف شده و به طور بالقوه ویرانی در سیستم های هدف قرار بگیرند.

گاهی اوقات یک ضعف واحد به اندازه کافی برای دسترسی به آنها که می خواهند مزاحم است. اما زمانیکه دیگر مهاجمان از تلفیق چندین آسیب پذیری برای نفوذ به یک سیستم استفاده می کنند، کنترل، سرقت اطلاعات و تغییر یا حذف اطلاعات را در هنگام تلاش برای مخفی کردن هر گونه شواهدی از فعالیت خود را از برنامه های امنیتی و پرسنل استفاده می کنند. چالش اینقدر بزرگ است که هوش مصنوعی و سیستم های یادگیری ماشین در حال حاضر نیز برای کمک به فعالیت های امنیتی سایبری کمک می کنند.

بعضی از سوالاتی در مورد نقش دولت فدرال در این وضعیت وجود دارد، زیرا یکی از ابزارهای هکری که ماموران گزارش کرده اند در بالتیمور استفاده می شود توسط آژانس امنیت ملی ایالات متحده تهیه شده است که سازمان امنیت ملی آمریکا آن را انکار کرده است. با این حال، ابزار هک از NSA در سال 2017 توسط گروه هکرها به سرقت رفته است. شرکت Shadow Brokers برای راه اندازی حملات مشابه طی چند ماه از ابزارهایی که در اینترنت منتشر شد استفاده شد. مطمئنا، این ابزار نباید هرگز از NSA ربوده شود - و باید بهتر از آن محافظت شود.

اما دیدگاه های من پیچیده تر از این است: به عنوان یک شهروند، من مسئولیت NSA را برای تحقیق و توسعه ابزار پیشرفته برای محافظت از کشور و اجرای مأموریت امنیتی ملی خود، به رسمیت می شناسم. با این حال، مانند بسیاری از متخصصان امنیت سایبری، من با این موضوع مخالفت می کنم: هنگامی که دولت یک آسیب پذیری جدید را شناسایی می کند، اما سازنده سخت افزار یا نرم افزار آسیب دیده را تا زمانی که از آن استفاده نمی شود به علت تخریب یا افشای ناگهانی نرسد، در معرض خطر است.

واکنش واضحی به ransomware وجود ندارد

برخی از قربانیان پرداخت می کنند، اما اطلاعات خود را دریافت نمی کنند؛ دیگران پرداخت نمی کنند و آنچه را که از دست داده اند را بهبود می یابند.

وضعیت شهر بالتیمور

تخمین زده شده است که 18 میلیون دلار هزینه بازیابی در بالتیمور پولی است که شهر احتمالا به آسانی در دسترس نیست. تحقیقات اخیر توسط برخی از همکاران من در دانشگاه مریلند، کالج بالتیمور، نشان می دهد که بسیاری از دولت های ایالتی و محلی، به طرز شگفت آوری کم پیش بینی شده اند و به اندازه کافی، صرفا به طور فعالانه، با چالش های بسیاری در زمینه امنیت سایبری مواجه هستند.

در مورد این است که حمله ransomware در بالتیمور یک آسیب پذیری را که بیش از دو سال از آن به طور عمومی شناخته شده است - با یک رفع در دسترس برخوردار است. NSA یک اکتیویته (کد EternalBlue) را برای این ضعف امنیتی کشف کرده است اما مایکروسافت در مورد این آسیب پذیری امنیتی بحرانی تا اوایل سال 2017 هشدار داده و تنها پس از اینکه کارکنان سایه ابزار NSA را برای حمله به آن دزدیده اند، اخطار دادند. به زودی مایکروسافت یک به روز رسانی امنیتی نرم افزاری را برای رفع این نقص کلیدی در سیستم عامل ویندوز خود منتشر کرد.

تلاش برای هک کردن 1.5 میلیون سرور RDP

در حال حاضر یک بوت نت اینترنت را در جستجوی ماشین های ویندوز ضعیف محافظت می کند با اتصال پروتکل دسکتاپ Remote (RDP) فعال شده است.

GoldBrute نامی از نرم افزارهای مخرب لیستی از بیش از 1.5 میلیون سیستم منحصر به فرد را گردآوری کرده است و به طور سیستماتیک دسترسی به آنها را با حمله سایبری بیرحمانه یا اعتبار سنجی انجام می دهد.

جستجو در موتور جستجو Shodan نشان می دهد که حدود 2.4 میلیون دستگاه وجود دارد که قابل دسترسی در اینترنت هستند و پروتکل دسک تاپ از راه دور فعال شده است.

نیروی بیرحمانه به عنوان یک حمله واحد مخفی شده است

رناتو ماریینو از آزمایشگاههای مورفوس، جزء نیروی خشن در GoldBrute را تجزیه و تحلیل کرده است، که اسکن وب را حفظ می کند و لیستی از اهداف بالقوه را افزایش می دهد.

 

ماریینو به گفتگو با BleepingComputer گفت که آثار منقضی شده، هدف نهایی برای سرورهای دسک تاپ هک شده را نشان نمی دهد.

همانطور که مکانیزم پایداری وجود ندارد، یکی از نظریه ها این است که آنها آنها را جمع آوری می کنند به عنوان یک سرویس دسترسی به عنوان یک سرویس و یا در انجمن ها و بازار های هکر

محقق می گوید که تنها یک سرور فرمان و کنترل (C2) با استفاده از آدرس IP 104.156 وجود دارد.] 249.231، که نشان دهنده موقعیت مکانی در نیوجرسی، ایالات متحده است.

کد بوت دانلود سنگین 80 مگابایت است زیرا شامل جاوا Runtime کامل است. یک کلاس جاوا "GoldBrute" شامل کد های ربات می شود.

 

یک سیستم آلوده GoldBrute شروع به اسکن کردن وب برای میزبان ها با سرورهای RDP در معرض نمایش می دهد و آدرس های IP خود را به C2 از طریق یک اتصال WebSocket رمزگذاری شده به پورت 8333، که معمولا برای اتصال Bitcoin استفاده می شود، گزارش می دهد.

پس از ارسال آدرس برای 80 قربانی، C2 تعدادی از اهداف را رد می کند که ربات باید نیروی بی رحم باشد. جالب توجه است که یک ربات فقط یک نام کاربری و رمز عبور را برای هر هدف هدف قرار می دهد.

به احتمال زیاد، این تاکتیک به معنای مخفی کردن یک حمله خشونت آمیز هماهنگ شده به هدف است زیرا قربانی تلاش ورود به سایت را از چندین آدرس نشان می دهد.

احراز هویت موفق، دانلود را برای کد GodlBrute و Java Runtime، هر دو در بایگانی ZIP ذخیره می کند.

پس از غیر فشرده سازی، پس از آن یک فایل جارو با نام bitcoin.dll اجرا می شود. پسوند DLL ممکن است برای مخفی کردن کاربران غیر قابل ستایش باشد، اما من معتقد هستم که بخش bitcoin توجه بیشتری را نسبت به یک extension جیار نشان می دهد. مارینو امروز در پست وبلاگ می نویسد.

اسکن، نیروی بی رحم، آلوده، تکرار کنید

ربات شروع به کار بلافاصله و جستجو برای سرور های RDP در معرض. هنگام خشونت زدن، ربات می تواند ترکیب های مختلفی از آدرس آی پی میزبان، نام کاربری و رمز عبور را برای آزمایش انجام دهد.

هنگام تجزیه و تحلیل GoldBrute، محقق توانست کد خود را اصلاح کند تا بتواند لیست را با تمام "host + username + password" ذخیره کند.

"پس از 6 ساعت، 2.1 میلیون آدرس آی پی از سرور C2 دریافت کردیم که 1،596،571 آنها منحصر به فرد هستند. البته ما فاز نیروی فشاری را اجرا نکردیم."

این سیستم ها در سراسر جهان به عنوان قابل مشاهده در نقشه زیر منتشر شده است.

به تازگی، علاقه وب سایبری به سرورهای RDP افزایش یافته است. این بررسی ناخواسته پس از انتشار اخبار BlueKeep، آسیب پذیری اکتیویتی از راه دور در سرویس های Remote Desktop Services (RDS) ظاهر می شود.

هیچ روش ابتکاری در روش حمله وجود ندارد، اما GoldBrute به نحوی است که نیروی خشن را اجرا می کند؛ این روش به آن کمک می کند که مشخصات کم را حفظ کند و همچنین عدم استقامت آن.

سیستم‌های امنیتی هتل های Major با ضعف امنیتی بزرگی مواجه هستند

محققان خودکفائی "hacktivist" در این هفته نشان داد که یک محرک اطلاعاتی واقعا بزرگ با پیامدهای بسیاری از زنجیره های بزرگ هتل در سرتاسر جهان است. در این زمان اطلاعاتی که در معرض حملات و مهمان نوازی بود، به جای اینکه اطلاعات مالی و مهمانانه را افشا کنند، حقیقتا به مراتب ارزشمندتر است: حدود 85.4 گیگابایت رجیسترهای امنیتی.

چه داده ای در معرض قرار گرفته است؟

این نقض توسط تیم تحقیقاتی vpnMentor همانگونه که توسط نوام روتم و ران لارار رهبری شده بود، کشف شد، که 11 میلیون عکس نشتی را که من در مورد اوایل امروز نوشتم، کشف کردم. vpnMentor گزارش می دهد که در 27 ماه مه محققان یک سرور ناشناس را که به شرکت هتل و مدیریت رفت و آمد هتل Pyramid Hotel Group مرتبط شده است، کشف کردند. محققان می گویند که داده های نشت شده شامل موارد ذیل است که به عنوان یک لیست خرید رویای سایبری معروف است:

کلید سرور و رمز عبور سرور

نام دستگاه

آدرس های آی پی های ورودی به سیستم و موقعیت جغرافیایی

اطلاعات فایروال و پورت باز

هشدارهای بدافزار

برنامه های محدود شده

تلاشهای ورودی

تشخیص حمله نیروی بی رحم

نام و آدرس کامپیوتر محلی، از جمله هشدار از کدام یک از آنها هیچ گونه آنتی ویروس نصب نشده است

ویروس و بدافزار در ماشین های مختلف شناسایی شده است

خطاهای برنامه

نام سرور و جزئیات سیستم عامل

اطلاعات شناسایی سیاست های سایبری

نام کامل و نام کاربری کارکنان

چه چیزی نمی دانیم؟

با توجه به یک پنجره تهدید باز که بیش از یک ماه طول می کشد، اگر کسی غیر از افراد خوب در سراسر آن درهم شکسته و از آن عبور کند، ناشناخته است. آنچه که من می دانم این است که اگر محققان امنیتی بتوانند آن را به راحتی پیدا کنند، بازیگران تهدید نیز می توانند آن را داشته باشند. اگر آنها انجام دادند، پس از دسترسی به داده های موجود ممکن است اجازه داده اند آنها را به انجام عمیق نظارت بر هر شبکه هتل در معرض قرار گرفتن در معرض. به گفته تیم تحقیقاتی vpnMentor، این کار آنها را قادر می سازد "ساختن یک بردار حمله با هدف هدفمند کردن ضعیف ترین لینک ها در زنجیره امنیتی". این موضوع نگران کننده است؛ به طور حتم مهاجم می تواند در واقع آنچه را که تیم امنیتی هتل می بیند و از روش های حمله خود که بر اساس هشدارهایی که توسط سیستم به دست می آید یاد بگیرند.

همچنین ممکن است امنیت فیزیکی مهمانان توسط نشت اطلاعات تحت تأثیر قرار گیرد. vpnMentor توضیح می دهد: "تیم ما چندین دستگاه را که مکانیزم قفل هتل، مکانیزم های قفل الکترونیکی، و دیگر سیستم های مدیریت ایمنی فیزیکی را در اختیار دارد، کنترل می کند. این در حالی است که این خطرات بسیار خطرناکی را در خانه ایجاد می کند، زمانی که نقص امنیتی سایبری تهدیدی برای دنیای واقعی امنیت."

چه چیزی اشتباه پیش رفت؟

محققان به این واقعیت اشاره دارند که داده ها به 19 آوریل باز می گردند که می تواند نشان دهد که راه اندازی، تنظیم مجدد یا تعمیر و نگهداری سیستم ممکن است سرور را تحت تاثیر قرار دهد تا آن را برای هر کسی که نگاه می کند باز کند و در دسترس باشد. سرور مورد نظر یک سیستم شناسایی نفوذ منبع باز با نام Wazuh داشت. همچنین 85.4 گیگابایت سیاهههای مربوط به ممیزی امنیتی منتشر شد. از آنجا که مشتریان گروه هتل Pyramid شامل برخی از بزرگترین زنجیره های هتل در بسیاری از کشورها هستند و اطلاعاتی که در معرض آن قرار گرفته است مربوط به سیستم عامل، سیاست های امنیتی، شبکه های داخلی و اطلاعات رویداد در مورد امنیت سایبر است، این حادثه به طور بالقوه بسیار جدی است.

سین رایت، متخصص امنیت نرم افزار و رهبر فصل اسکاتلند در پروژه برنامه امنیتی Open Web Application (OWASP)، می گوید: "این طلای مطلق برای مهاجمان است، که این امر به طور عمومی در اینترنت قابل دسترسی است و این اطلاعات را برای این اطلاعات بی اهمیت می کند." با صحبت کردن با رایت، به نظر می رسد که مستندات برای Wazuh اشاره به نیاز به ایمن سازی نصب Elasticsearch، پایگاه داده منبع باز با جستجوی تمام متن است. سوءاستفاده از چنین عناصر نسبتا رایج است و به پایگاه داده Elasticsearch که در قلب گزارش های اخیر قرار گرفتن در معرض اطلاعات مربوط به وب سایت Tommy Hilfiger Japan است، منجر شده است. رایت می گوید: "یک پایگاه داده ناامن را بر روی زیرساخت های عمومی بکشید و از مشکلات خود بپرسید."

چه چیزی درست شد؟

این همه اخبار بد نیست براساس جدول زمانبندی افشاگری توسط vpnMentor، نقض در 27 مه کشف شد و گروه هتل Pyramid در تاریخ 28 ماه مه اعلام شد. آسیب پذیری در 29 مه ثابت شد، بنابراین پاسخ سریع و کارآمد بود. جیک اللوات، معاون رئیس امور امور دولتی در بیتسایت، به عنوان آرامش سردی به نظر می رسد. اولکات، که قبلا به عنوان مشاور حقوقی کمیته بازرگانی سنا و مشاوره در کمیته امنیت مجلس نمایندگان، خدمت کرده است، می گوید: در حالی که بخش های دیگر مانند مالی بر اندازه گیری و نظارت بر خطر سایبری شخص ثالث متمرکز شده اند، "بخش مهمان نوازی با فشارهای نظارتی مشابه مواجه نیست. " حوادثی مانند این، باید به عنوان یک پیغام بیداری به بخش کل سفر و مهمان نوازی به کار گرفته شود. وی می افزاید: "آنها باید به این مسائل نزدیک تر نگاه کنند، و یا با آسیب های اقتصادی و اقتصادی مواجه می شوند ..."

گروه هتل Pyramid تا قبل از زمان انتشار، به درخواست های من پاسخ نمی داد. اگر نظر ارائه شود، این داستان را مطابق با آن خواهم نوشت.

backdoor پیشرفته‌ای در محیط لینوکس شناسایی شد

محققان می گویند که یک قطعه پیشرفته از نرم افزارهای مخرب لینوکس را شناسایی کرده اند که از طریق آنتی ویروس شناسایی شده اند و به نظر می رسد که در حملات هدفمند مورد استفاده قرار می گیرد.

محققان شرکت امنیتی Intezer در روز چهارشنبه گزارش دادند که HiddenWasp، به عنوان بدافزار، یک مجموعه کامل از نرم افزارهای مخرب است که شامل یک تروجان، rootkit و اسکریپت اولیه استقرار است. در آن زمان Post Intezer به طور زنده پخش شد، سرویس VirusTotal مخرب نشان داد که Wasp پنهان توسط هیچ یک از 59 آنتی ویروس که آن را دنبال می کند، تشخیص داده نمی شود، اگرچه برخی از آنها شروع به پرچم گذاری کرده اند. تمبرهای زمان در یکی از 10 فایل Intezer تجزیه و تحلیل نشان داد که ماه گذشته ایجاد شد. سرور مرکزی و فرماندهی که کامپیوترهای آلوده را گزارش می دهند در زمانی که این مقاله در حال آماده سازی بود عملیات خود را ادامه داد.

برخی از شواهد مورد تجزیه و تحلیل، از جمله کد نشان می دهد که رایانه های آن را آلوده می کند در حال حاضر توسط همان حمله کنندگان به خطر افتاده، نشان داد که HiddenWasp احتمالا مرحله بعد از نرم افزارهای مخرب است که به اهداف مورد علاقه که قبلا توسط یک مرحله اولیه آلوده شده است. روشن نیست که چگونه تعداد کامپیوترها آلوده شده و یا اینکه مراحل مرتبط با آن قبلا نصب شده است. با استفاده از قابلیت دانلود و اجرای کد، آپلود فایل ها و انجام انواع دستورات دیگر، هدف از این بدافزار به نظر می رسد که از راه دور کامپیوتر های آلوده را کنترل کند. این متفاوت از بیشتر نرم افزارهای مخرب لینوکس است که برای انجام حملات انکار سرویس یا معادلات انتقادی منحصر به فرد وجود دارد.

"Ignacio Sanmillan محقق Intezer در روزنامه روز چهارشنبه نوشت:" بدافزار لینوکس ممکن است چالش های جدیدی را برای جامعه امنیتی ایجاد کند که هنوز در سیستم عامل های دیگر دیده نشده است. " "واقعیت این است که این نرم افزارهای مخرب تحت تاثیر رادار قرار می گیرند باید یک تماس بیدار از صنعت امنیتی برای تخصیص تلاش های بیشتر یا منابع برای شناسایی این تهدیدات باشد."

بعضی از کد ها از Mirai، بدافزار بوت نت اینترنت اشیاء که کد منبع آن در سال 2016 به صورت عمومی در دسترس بوده است، قرض گرفته شده است. کد دیگری شباهت زیادی به سایر پروژه های ایجاد شده یا بدافزارها از جمله Rootkit Azazel، Implant Elzenot ChinaZ و اخیرا لینوکس نوع Winnti را کشف کرده است، یک خانواده از نرم افزارهای مخرب که قبلا دیده بود که تنها ویندوز را هدف قرار داده بودند.

در یک ایمیل، سیلاس کتلر، مهندس معکوس برای کرونیکل، شرکت امنیتی که متعلق به الفبای است، کشف نوع لینوکس وینتی لینوکس، نوشت:

در مورد پرونده واقعا جالب بود که بسیاری از ابزارهای لینوکس نسبتا ابتدایی هستند. حتی در مورد Winnti-Linux، این یک پورت از نوع ویندوز بود. کد قرض گرفتن از پروژه های منبع باز مثل Azazel و (اکنون) Mirai جالب است زیرا ... ممکن است تحلیل گران نرم افزارهای مخرب / گمراه کننده را مسدود کنند.

بیشتر بدافزار لینوکس، همانطور که Intezer اظهار داشت، متمرکز بر حملات DDoS یا معدن است. این نوع مخرب بر روی کنترل مستقیم بازیگر متمرکز است منحصر به فرد است. هدف از این نرم افزارهای مخرب. . . واقعا جالب در مقایسه با بیشتر چیزهای nix است. [توسعه دهندگان] با استفاده از روت کیت باز منبع برای تسهیل دسترسی.

اجزای rootkit، Azazel، واقعا فقط برای مخفی کردن عملیات است. در حالی که لینک های Azazel و Mirai در این گزارش متمرکز شده بود، عناصر چینZ یافت شده است که منجر به این می شود که من فکر می کنم که بازیگران با ترکیب چندین مجموعه ابزار تجربه کرده اند.

رایانه ای که برای اولین بار یک فایل HiddenWasp را به VirusTotal آپلود کرد، مسیری را که حاوی نام یک شرکت پزشکی قانونی چینی شناخته شده به نام Shen Zhou Wang Yun Information Technology Co. Ltd است، استفاده کرد. اپراتورها همچنین سرورهای را از سرور مبتنی بر هنگ کنگ اجاره کردند میزبانی شرکت ThinkDream برای میزبانی نرم افزارهای مخرب خود.

یکی از فایل های آپلود شده به VirusTotal، یک اسکریپت bash که به نظر می رسد برای اهداف تست استفاده شده است، محققان Intezer را به فایل دیگری هدایت کرد. این فایل جدید شامل نام کاربری و رمز عبور حسابهایی بود که به نظر می رسد قبلا اضافه شده است تا دسترسی مهاجم مهاجم را فراهم کند. این شواهد به Intezer اعتقاد داشت که بدافزار بر روی ماشینهایی نصب شده است که مهاجمان در حال حاضر به خطر انداخته اند. برای ترویج پیشرفته بدافزار در دو یا چند مرحله در تلاش است تا عفونت را شناسایی و از آسیب های ناخواسته جلوگیری کند.

از آنجایی که پست روز چهارشنبه زنده شد، میزان تشخیص AV افزایش یافته است، اما در آن زمان Ars این مقاله را منتشر کرد، نرخ هنوز هم پایین بود. بسته به فایل مورد تجزیه و تحلیل، نرخ از 2 تا 13 از 59 موتور AV ردیابی متغیر بود.

بیش از یک میلیون ویندوز در اثر حمله سایبری vulnerable در معرض خطر قرار دارند

تقریبا یک میلیون کامپیوتر ویندوز آسیب پذیر هستند به BlueKeep، آسیب پذیری در سرویس پروتکل دسکارت دوردست (RDP) که بر نسخه های قدیمی تر سیستم عامل ویندوز تاثیر می گذارد.

این شماره می تواند ترس های اولیه را در زمینه قرار دهد - بیش از هفت میلیون دستگاه در معرض خطر هستند. اگرچه این خطر همچنان وجود دارد، اما هنوز هم یک میلیون دستگاه هنوز شوخی نمی کنند.

BLUEKEEP FLAW

آسیب پذیری BlueKeep، که به عنوان CVE-2019-0708 ردیابی می شود، در دو هفته گذشته به عنوان یکی از بزرگترین انجمن های فناوری اطلاعات و امنیت سایبری بوده است.

این موضوع در سه ماهه مه 2019 در سه ماهه نخست امسال به تصویر کشیده شد. در آن زمان، مایکروسافت پچ ها را منتشر کرد اما همچنین هشدار داد که نقص BlueKeep کرم است، به این معنی که هکرها و بدافزارها می توانند به طور بالقوه آن را به خود تکثیر و خود به خود گسترش دهند، مشابه آنچه هکرها از EnternalBlue SMB در طول WannaCry، NotPetya و بدبختی خرگوش خرگوش سال 2017 است.

اما علیرغم سطح خطر آسیب پذیری، هیچ حملاتی ثبت نشده است، عمدتا به این دلیل که هیچ نسخه آزمایشی عمومی وجود ندارد که بازیگران تهدید می توانند به حملات خود بپردازند.

در حال حاضر برخی از اسکن های تهاجمی در حال انجام است و مشخص نیست که چه کسی پشت سر آنها است، چرا که این فعالیت را در طول آخر هفته نشان داده است.

خبر خوب این است که شرکت ها می توانند از تکه هایی برای کاهش این خطر استفاده کنند. پچ ها در حال حاضر در دسترس برای ویندوز XP، 7، سرور 2003 و سرور 2008، نسخه های ویندوز آسیب پذیر به حملات BlueKeep است.

رابرت گراهام، سرپرست شرکت تحقیقات امنیتی تهاجمی Errata Security و نویسنده ابزار اینترنت اسکنر اینترنتی، دقیق ترین آمار مربوط به تعداد سیستم های ویندوز را که هنوز به حملات BlueKeep آسیب می رساند، منتشر کرده است.

در حالی که ابتدا اعتقاد بر این بود که تقریبا 7.6 میلیون سیستم ویندوز متصل به اینترنت است که می تواند مورد حمله قرار گیرد، گراهام امروز گفت که این تعداد در واقع نزدیک به 950،000 است.

گراهام کشف کرد که بسیاری از هفت میلیون سیستم که بندر 3389 (RDP) در معرض اینترنت هستند، در واقع سیستم های ویندوز نیستند و یا آنها سرویس RDP در این بندر را اجرا نمی کنند.

محقق گفت اکثر سیستم های ویندوز با سرویس RDP در معرض آنلاین امن هستند - با حدود 1.5 میلیون از این دستگاه ها به اسکن ها پاسخ می دهند به نحوی خاص به سیستم های که قبلا نصب شده اند.

با این وجود، 950،000 تعداد کمی نیست، حتی اگر آن را به تعدادی از سیستم های پچ شده پایین تر.

گراهام هشدار داد: "هکرها در ماه یا دو ماه آینده احتمالا یک سوءاستفاده قوی پیدا خواهند کرد و باعث خسارت این ماشین ها خواهد شد."

علاوه بر این، با توجه به محدودیت های اسکن شده، گراهام قادر به آزمایش سیستم های ویندوز در شبکه های داخلی نیست، که احتمالا حتی آسیب پذیر ترین ماشین ها را پنهان می کند.

شرکت های زمانیکه سیستم های قدیمی ویندوز را در مقابل BlueKeep پچ می کنند، شروع به کار می کنند و محققان امنیتی هر زمان از حملات شروع می کنند.

ابزارهایی که گراهام در طول تحقیقاتش استفاده کرد بر روی GitHub تحت نام rdpscan موجود است - ترکیبی از ابزار شخصی خود و یک اسکنر BlueKeep که توسط RiskSense ساخته شده است.

رویارویی بالتیمور با حملات سایبری ransomware

سیاستمدارانی که نماینده یک شهر آمریکا در اثر حملات ransomware هستند، از سوالاتی از آژانس امنیت ملی پس از ادعاهایی که باعث نقض این امر شده اند، می پردازند.

نیویورک تایمز روز شنبه اعلام کرد که یک آسیب پذیری هک شده به نام EternalBlue برای سوء استفاده از دولت محلی بالتیمور مورد سوء استفاده قرار گرفته است.

NSA این نقص را کشف کرد، اما این مقاله ادعا می کند که جاسوس های اینترنتی خود را برای سال ها کشف کرده است.

NSA رد کرد که نظر بدهد

اما این گزارش تحریک ویژه ای را به همراه دارد، زیرا این سازمان در فورت ماید، مریلند مستقر است که درایو کوتاهی از بالتیمور است.

یک سخنگوی NSA به بی بی سی گفت: "ما برای شما در این زمینه چیزی نداریم."

نقص EternalBlue در طیف وسیعی از حملات سایبری طی سه سال گذشته، از جمله حمله WannaCry که باعث اختلال NHS در انگلستان شده است، متاثر شده است.

این شامل یک اشکال در نسخه های قدیمی سیستم عامل مایکروسافت ویندوز است که اجازه می دهد تا دیگر کدهای مخرب در رایانه های آلوده اجرا شود.

نیویورک تایمز گفته است که این سازمان بیش از پنج سال از این مسئله برای مایکروسافت خبر نداشته است، تا زمانی که یک نقض آن را دستکاری کند.

مایکروسافت در مارس 2017 یک نقص در EternalBlue را رفع کرد.

چند هفته بعد، گروهی که خودش را می خواند، Brokers سایه ها ابزار هک مربوط به NSA را به صورت آنلاین منتشر کرد.

NSA هرگز تایید نکرده است که چگونه کنترل کدهای آن را از دست داده و به طور رسمی در این مورد اظهار نظر نکرده است.

اما پیشنهاد این است که اگر آن یافته های خود را با مایکروسافت در یک مرحله اولیه به اشتراک گذاشته شود، کامپیوترهای کمتری در معرض حملات بعدی قرار گرفتند که از آسیب پذیری استفاده می کردند.

قفل کردن ایمیل

رایانه های دولتی شهر بالتیمور در 7 ماه مه باقی ماندند و پس از آنکه فایل هایشان به صورت دیجیتالی کشیده شدند.

مسئولان جنایتکاران 13 بیت کوین (114،440 دلار، 90،200 پوند) برای باز کردن همه آنها، یا سه بیت کوین برای انتشار سیستم های خاص پیش از مهلت تعیین شده، که اکنون به تصویب رسیده اند، خواستار شدند.

مقامات حاضر شدند.

ساکنان محلی قادر به پرداخت صورتحسابهای برق، بلیط پارکینگ و برخی از مالیات آنلاین در نتیجه نیستند.

علاوه بر این، کارکنان قادر به ارسال یا دریافت ایمیل از حساب های معمول خود نیستند.

سناتور کریس ون هولن و نماینده کنگره هلند روپرسبرگر روزنامه "بالتیمور سان" گفته اند که اکنون به دنبال "جلسه کامل" به طور مستقیم از سازمان امنیت ملی آمریکا هستند.

سناتور به این مقاله گفت: "ما باید اطمینان حاصل کنیم که ابزارهایی که توسط سازمان های ما ایجاد شده، به دست بازیگران بد عمل نمی کنند."

برخی از کارشناسان امنیتی می گویند اگر EternalBlue واقعا درگیر باشد، مدیران فناوری اطلاعات باید مدت ها پیش آن را نصب کرده اند.

اما یک مشاور متوجه شد که این ممکن است ساده تر از انجام شود.

تروی هانت می گوید: "برای برخی از سازمان ها، تکه کردن می تواند یک تمرین بی اهمیت باشد، حتی با چند سال زمان سربازی."

برای مثال، سیستم های تخصصی مانند دستگاه های پزشکی اغلب برای مدت زمان طولانی باز می شود.

"از بین بردن این ریسک عوامل مانند دستگاه هایی هستند که به اینترنت متصل نیستند. با وجود این که با وجود اینکه EternalBlue دو سال پس از رفع آنها عفونت را مشاهده می کرد، اما هنوز سیستم هایی وجود دارد که بدون آن هم در دسترس نیستند."

این دقیقا صحبت از شهر در اینجا نیست - پس از همه، آن را مانند فیس بوک کاهش یافته است، صرفا خدمات عمومی مهم است.

برای کسانی که تحت تأثیر قرار گرفته اند، بسیار خسته کننده است - فروش خانه تاخیری در اینجا، یک کسب و کار جدید است که نمی تواند در آن زمان باز شود. یک نفر به من گفت که چگونه آنها نتوانسته اند محل برگزاری عروسی خود را در مکانی که متعلق به شهر است، پرداخت کنند.

یکی دیگر به من گفت که آنها نمیتوانند برای پرداخت بلیط پارکینگ به اینترنت بپردازند - این به آن معنی نیست که به نظر میرسد به من اعتماد کند.

یک ضربه بیشتر در دندان ها برای این شهر، پیشنهاد این است که این حمله از یک سوء استفاده کشف شده توسط نه روس ها یا چینی ها، بلکه توسط یک سازمان مستقر در فاصله 20 مایل - آژانس امنیت ملی آمریکا استفاده کرد.

مقامات شهر می خواهند پاسخی در این باره بدهند، اما مردم محلی نمی خواهند آن را یک سرزنش کنند. هشدارهای مکرر در مورد سرمایه گذاری شدید در زیرساخت های فناوری دولتی وجود دارد.

SQL server در معرض حمله سایبری ransomware ها هستند

اگر کلاهبرداران می خواهند به سیستم شما دزدکی داشته باشند، آنها گزینه های بسیار زیادی دارند.

آنها می توانند برخی از هک های جدی را انجام دهند، از آسیب پذیری ها و سوءاستفاده ها استفاده می کنند تا از کنترل های امنیتی که در حال حاضر در محل خود استفاده می کنند جلوگیری کرده و سرورهای خود را به نرم افزار اجرا کند که قرار نیست انجام شود.

یا آنها می توانند بدون هیچ گونه جیگری پوکر سطح پایین، با استفاده از ورود رسمی و استفاده از دستورات سیستم رسمی آشنا شوند.

به جای استفاده از یک اتومبیل به سرقت رفته است که یک تاکسی به سرقت بانک متوسل شده است - این چیزی نیست که خیلی چیزهای زیادی به کار رفته باشد، اما شما هیچ راه حلی برای این کار ندارید.

همانطور که خوانندگان معمولی می دانند، یکی از ابزارهای محبوب برای کلاهبرداران بدافزار در حال حاضر ویندوز RDP است، کوتاه برای پروتکل دسک تاپ از راه دور.

متأسفانه، ما در سال های اخیر چندین بار در مورد وقایع امنیتی RDP نوشتیم که اجازه می دهد تا کلاهبرداران به شبکه شما وارد شوند، به شرط اینکه آنها سیستم های صحیح واقعی هستند ...

... بجز اینکه به جای ثابت کردن چیزها، آنها را به جای آن شکست می دهند و سپس پول می پردازند تا خسارت را به خوبی انجام دهند.

اما RDP تنها راه محبوب برای crooks نیست.

ما اخیرا تحقیقات honeypot را برای حملات SSH منتشر کردیم، جایی که SSH برای Secure Shell، یک سیستم دسترسی از راه دور است که حتی بیشتر در آموزش لینوکس و یونیکس از RDP در ویندوز استفاده می شود.

(SSH نیز در سرورهای ویندوز محبوب است، اما پیروزی نزدیک به 100٪ که در مورد پسر عموی Unixy آن انجام می شود ندارد.)

تحقیق ما یک تصویر واضح نشان داده است که چقدر سایبرکرین انرژی آماده است تا با استفاده از روش های غیرقابل دسترس، به شبکه شما دسترسی پیدا کند.

استفاده از ابزارهای غیرقانونی قانونی برای ورود غیرقانونی، نه تنها کریکت سایبری را به مجموعه گسترده ای از مهاجمان باز می کند، بلکه خطر ابتلا به تشخیص سوءاستفاده یا ایجاد سقوط سرور را نیز از بین می برد.

متاسفانه، کلاهبرداران فقط از SSH و RDP به عنوان ابزار حمله عمومی استفاده نمی کنند.

بسیاری از سرویس های آنلاین دیگر مانند برخی از شما ممکن است انتظار نداشته باشید که به عنوان یک خط فرمان به همان اندازه خوب است، در صورتی که فقط می توانید به آنها متصل شوید.

به عنوان مثال، یک سرور MySQL ناامن فقط راه نقض اطلاعات نیست.

این نیز بسیار موثر، اگر غیر متعارف، جایگزین برای RDP و یا SSH برای اجرای نرم افزار از راه دور.

در اینجا یک نمونه شگفت انگیز است که اخیرا توسط honeypot SophosLabs گرفته شده است که در بندر TCP 3306، پورت دسترسی پیش فرض برای MySQL گوش دادن است.

سرور فریبنده تاکید کرد که یک نمونه ناامن از MySQL است که هکرها می توانند آن را پیدا کنند، پروب و اتصال به آن را داشته باشند.

Honeypots به طور عمدی هکرها را جذب می کند تا پیگیری تکنیک های حمله که در حال حاضر کلاهبرداران از آن استفاده می کنند - البته در حد محدودیت ها، به دلیل اینکه honeypot نباید اجازه دهد کلاهبرداران هر گونه آسیبی واقعی را تحمل کنند.

اپراتورهای Honeypot باید مراقب باشند تا بخشی از راه حل بدون تبدیل شدن به بخشی از مشکل باشند. به عنوان مثال، اگر شما در حال تلاش برای فهمیدن در اسپم ها با چه چیزی شبیه یک کامپیوتر زامبی است که آماده است و انتظار دارد تا ایمیل های ناخواسته را از بین ببرد، شما باید به اندازه کافی به اندازه کافی برای ایجاد کلاهبرداران پیام هایی که می خواهید ارسال کنید، اضافه کنید ضمیمههایی که میخواهند توزیع کنند، و نشان دهند که چه تعداد افرادی که میخواهند هرزنامه باشند. اما شما نباید اجازه دهید که هیچ کدام از پیامهای مضحک را بیرون بیاورید، یا به هر حال شما کلاهبرداران را به سرویس رایگان هرزنامه می دهید.

در حمله مبتنی بر SQL گرفته شده توسط SophosLabs، کلاهبرداران تلاش کردند تا سرور MySQL honeypot را به یک ربات اجرایی کد از راه دور تبدیل کنند، با استفاده از یک توالی مثل این:

به سرور وصل شوید.

حدس و گمان اعتبار یک کاربر مجاز و وارد شوید

یک جدول پایگاه داده بیگناه ایجاد کنید و یک رکورد متنی را که شامل متن است که در واقع یک فایل اجرایی ویندوز در هگزادسیمال است اضافه کنید.

داده های هگزادسیمال را رمزگشایی کرده و آن را به عنوان یک فایل محلی به نام cna12.dll ذخیره کنید. (DLL یک نوع خاص از برنامه ویندوز طراحی شده است که توسط یک برنامه کاربردی که در حال اجرا است برای اضافه کردن ویژگی های اضافی لود می شود.)

دستورالعمل سرور برای بارگذاری DLL جدید به عنوان یک پلاگین MySQL شناخته شده به عنوان یک کاربر تعریف شده (UDF)،

یک تابع در پلاگین جدید برای تهیه و اجرای نرم افزارهای مخرب با استفاده از HTTP.

به عبارتی، کلاهبرداران از MySQL به عنوان یک زامبی به طور کامل از راه دور کد با استفاده از سیستم MySQL UDF پلاگین استفاده می کنند که اجازه می دهد تا ویژگی های اضافی به سرور در زمان اجرا وارد شود.

حمله به خصوص پیچیده نبود، زیرا کلاهبرداران نتوانستند متوجه شوند که honeypot لینوکس را اجرا می کرد و کد اجرایی خاص را برای نسخه ویندوز MySQL آپلود کرد.

با این وجود، اگر سرور ویندوز را اجرا می کرد، سپس HTTP را دانلود کنید در مرحله 6 بالا ...

... می تواند ransomware را به عنوان GandCrab شناخته شود.

برای تجزیه و تحلیل دقیق تکنیک های استفاده شده در این حمله و برای IoC ها (شاخص های سازش) می توانید برای بررسی پرونده های مشابه در سرورهای خود، لطفا تجزیه و تحلیل فنی سایت ما، Sophos News را بخوانید.

چه کاری باید انجام دهید؟

حکمت دریافت می کند که شما نباید به این نوع حمله آسیب برسانید.

انفجار بزرگ جهانی SQL Slammer در سال 2003 باید همه ما را به نگهداری سرورهای SQL خود از اینترنت متهم کرد و پتانسیل سوء استفاده از ویژگی UDF MySQL تا مدت طولانی مستند شده است.

اما این واقعیت که ما هنوز در حال تلاش برای دستیابی به پیچیدگی های خودکار و تلاش برای از بین بردن پورت های اینترنتی در اینترنت است یادآوری می کنیم که ما هنوز اشتباهات قدیمی را انجام می دهیم.

بنابراین در اینجا چیزی است که باید انجام دهید:

اطمینان حاصل کنید که سرورهای SQL شما به طور مستقیم از اینترنت قابل دسترسی نیستند. اگر آنها هستند، تقریبا قطعا یک اشتباه است. اگر این یک اشتباه نیست، این ایده بدی است که باید راه دیگری برای دسترسی به آنها از راه دور پیدا کنید. با استفاده از یک VPN یا SSH به عنوان اولین نقطه ورود در نظر بگیرید و 2FA را برای تمام کاربران خود اصرار کنید.

گذرواژههای مناسب را انتخاب کنید. حمله شده در اینجا نمی تواند توسط یک کاربر نا معتبر کشیده شود، بنابراین شانس با کلمات عبور ضعیف را نگیرید. حتی اگر سرور SQL شما تنها در داخل قابل دسترسی باشد، شما نمی خواهید فقط هر کسی بتواند به راحتی وارد شود، به خصوص به عنوان یک کاربر منحصر به فرد.

تنظیمات کنترل دسترسی MySQL خود را بررسی کنید. فقط کاربران با حقوق INSERT به پایگاه داده اصلی مایکروسافت می توانند UDF جدید را بارگذاری کنند، بنابراین هر کسی که می تواند این حمله را انجام دهد، در حال حاضر توانایی کافی برای انجام بسیاری از چیزهای بد دیگر را دارد. (این امر می تواند گزینه ای برای غیرفعال کردن UDF ها باشد، اگر هرگز از آنها استفاده نکنید، اما ما نمی توانیم راهی برای انجام این کار پیدا کنیم. تنها ترفندی که ما می توانیم برای جلوگیری از بارگذاری UDF پیدا کنیم این است که نسخه خود را به صورت ایستا مرتبط کنیم از mysqld از کد منبع.)

آزمایش نفوذ را در نظر بگیرید. شما احتمالا تمام استراتژی های دفاعی ذکر شده در بالا ذکر شده را می دانید و سعی می کنید آنها را دنبال کنید، اما ارزش این را دارد که آنها را به درستی اعمال کرده اید. اشتباهات اتفاق می افتد، و اگر شما به دنبال آنها نیستید، شخص دیگری قطعا خواهد شد.

ایمن باش - با خم کردن چاه ها، و سپس بررسی کنید که بتتن به درستی نصب شده است.

کامپیوترهای Baltimore به مدت دو هفته توسط هکرها هک شد

حملات ransomware به این معنی است که شهروندان بالتیمور نمیتوانند صورتحساب آب خود یا بلیط پارکینگ را پرداخت کنند.

سیزده بیک کوین بین شهر بالتیمور ایستاده و بسیاری از خدمات و پردازش شهروندان خود را به تکیه بر پس از هکرها هزاران کامپیوتر دولتی را در آغاز ماه گرفتار شده است. اعتراض به مدت دو هفته ادامه دارد و هیچ دلیلی در ظاهر وجود ندارد.

در اینجا چیزی است که اتفاق می افتد: در روز 7 ماه مه، هکرها به صورت دیجیتالی حدود 10،000 رایانه دولتی بالتیمور را دستگیر کردند و تقاضای تقریبا 100000 دلار در بیت کوین ها برای آزاد کردن آنها را ایجاد کردند. این حمله به اصطلاح "ransomware" است، در حالی که هکرها برنامه های مخرب را به منظور جلوگیری از دسترسی به سیستم کامپیوتری و یا دریافت آن تا زمانی که صاحب آن سیستم می پردازد، بازپرداخت می کند.

بالتیمور، مانند چندین شهر دیگر که طی دو سال گذشته با چنین حملاتی برخورد کرده اند، حاضر به پرداخت آن نیست. در نتیجه، به مدت دو هفته کارکنان شهر از حساب های ایمیل خود قفل شده اند و شهروندان قادر به دسترسی به خدمات ضروری، از جمله وب سایت هایی که پرداخت صورت حساب آب، مالیات بر املاک و بلیط های پارکینگ را پرداخت می کنند. این حمله متعارف در بلاروس در حدود 15 ماه است: سال گذشته، یک حمله جداگانه برای حدود یک روز، سیستم 911 شهر را متوقف کرد. بالتیمور برای رسیدگی به هر دو حملات تحت نظارت قرار گرفته است.

حملات ransomware در بالتیمور و سایر دولت های محلی در سراسر ایالات متحده نشان می دهد که به عنوان حملات ransomware گسترش یافته و به عنوان اهداف رایج از قبیل بیمارستان ها و مدارس امنیت سیستم های آنلاین خود را تضمین می کنند، هنوز هم هدف های زیادی برای آسیب پذیری این نوع هک وجود دارد. این همچنین نمونه ای از عجیب و غریب است که قربانیان ransomware با آن روبه رو می شوند: پرداخت و دسترسی شما به عقب، و یا امتناع - به طور بالقوه در طولانی مدت هزینه های بسیار بیشتری.

آنچه در بالتیمور اتفاق می افتد، به طور خلاصه توضیح داده شده است

هکرها در 7 مه از شهر برادران بالتیمور، با استفاده از یک رادیو اینترنتی به نام RobbinHood، که به گفته NPR، امکان دسترسی به یک سرور را بدون کلید دیجیتالی که تنها هکرها دارند، غیرممکن است.

توجه داشته باشید که استفاده از هکرهای بالتیمور، که توسط بالتیمور خورشید به دست آمده، درخواست پرداخت سه بیت کوین در هر سیستم را برای باز شدن قفل کرد، که به 13 بیت کوین برای باز کردن تمام سیستم های دستگیر شده تقسیم می شود. این یادداشت تهدید کرد که اگر آن را در چهار روز پرداخت نمی شد، جبران خسارت را افزایش می دهد و گفت که این اطلاعات برای همیشه از بین خواهد رفت، اگر آن را در 10 روز پرداخت نکنید. هر دو مهلت در حال حاضر گذشت

"ما بیشتر صحبت نمی کنیم، همه ما می دانیم که پول است! عجله کن! تک تاک، تک توک، تک توک! "یادداشت گفت.

دولت شهر از پرداخت پول خودداری می کند، به این معنی است که سیستم های پست الکترونیکی دولت و سیستم عامل های پرداختی این حملات از بین می روند. این حمله همچنین به بازار املاک بالتیمور آسیب رسانده است، زیرا مقامات قادر به دسترسی به سیستم های مورد نیاز برای تکمیل فروش املاک نیستند. (این شهر گفت که معاملات روز دوشنبه ادامه یافت.)

جک یانگ، شهردار بالتیمور، که رسما در کمتر از یک ماه در دفترش بود، در بیانیه ای در روز جمعه گفت که مقامات شهر "به خوبی در روند بازسازی" قرار دارند و "کارشناسان ارشد امنیت سایبری که در محل کار 24-7 کار می کنند مشغول به کار هستند با ما ". FBI نیز در تحقیق شرکت داشته است.

یانگ گفت: "بعضی از تلاش های ترمیم همچنین نیاز به بازسازی سیستم های خاصی دارند تا اطمینان حاصل شود که وقتی ما کارهای تجاری را بازسازی می کنیم، ما این کار را به گونه ای ایمن انجام می دهیم." او زمان زمانی را برای زمانی که تمام سیستم ها دوباره به اینترنت بازگردانده نمی شوند.

رئیس شورای شهر بالتیمور همچنین قصد دارد یک کمیته ویژه برای بررسی این حمله جدید ایجاد کند و سعی کند اطمینان حاصل کند که این اتفاق دوباره رخ نخواهد داد.

حمله مشابه با استفاده از RobbinHood کامپیوترهای دولتی در گرین ویل، کارولینای شمالی در ماه آوریل را تجربه کرد. یک سخنگوی گرین ویل به وال استریت ژورنال گفته است که این شهر هرگز پرداخت نمی شود و در حالی که سیستم هایش به طور کامل بازسازی نشده است، "تمام نیازهای تکنولوژی ما در حال حاضر برآورده شده است."

بیش از 20 شهرداری در ایالات متحده به تنهایی در سال جاری توسط سایبری دستگیر شده اند. و چنین حملاتی می تواند گران باشد، شاید به ویژه اگر اهداف می گویند که آنها پرداخت نمی کنند. در سال 2018، هکرها خواستار آن بودند که آتلانتا به عنوان بخشی از حمله ransomware حدود 50،000 دلار در بیت کوین پرداخت کند. این شهر رد کرد و بر اساس گزارشی که توسط قانوننامه آتلانتا ژورنال و کانال 2 Action News منتشر شد، این حمله به هزینه 17 میلیون دلار برای رفع آن پایان یافت.

حملات Ransomware جدید نیستند - اما ما هنوز درک نحوه برخورد با آنها را داریم

در سال 2017، یک رایانامه به نام WannaCry دهها هزار رایانه را با استفاده از سیستم عامل های Microsoft Windows در بیش از 100 کشور هدف قرار داد. مقامات ایالات متحده و بریتانیا در نهایت سرانجام کره شمالی را برای حمله سایبری مورد انتقاد قرار دادند. همچنین در سال 2017، شرکت های بزرگ در انگلستان، فرانسه، روسیه، اسرائیل و اوکراین با حملات ransomware مواجه شدند. بیمارستان های ایالات متحده نیز هدف قرار گرفتند.

از آن به بعد، تعدادی از بخش ها و سازمان ها اقدامات امنیتی خود را برای محافظت در برابر رنج نرم افزار بهبود داده اند. اما آخرین حمله بالتیمور نمونه ای از یک بازی بی نظیر یک مول است: یک منطقه اقدامات خود را بهبود می بخشد و هکرها فقط به دنبال آن هستند

حملات سایبری پزشکی تا حدود 1400 درصد افزایش پیدا کرده است!

SAN FRANCISCO - یک مرد نابالغ، که به وسیله پزشکان، پرستاران و پزشکان محاصره می شود، مرد متوسط ​​ساله بود که نگران بیمار شدن مراقبت های بهداشتی آمریکا می بود، می تواند خطرناک باشد: "cybergeddon".

"هشدار: تمام مانیتورهای رایانه ای در سیستم بیمارستان پایین آمده است"، صدای زنانه اتوماتیک صدای بلند بر روی یک سیستم آدرس عمومی بیان شده است.

به زودی، وضعیت مرد بدتر شد و یک جفت پزشکان تلاش کردند پاسخ های غیر معمول از دستگاه انسولین بیمار شبیه سازی شده را بیابند - در حالی که بیش از صد نفر هر تصمیم خود را به تماشای آنها می انداختند.

تظاهرات قلب تند و تند و تند و تیز در کنفرانس امنیتی اخیر در مرکز سانفرانسیسکو نشان داد چه اتفاقی می افتد زمانی که یک حمله سایبری فلج می کند یا تجهیزات را در هر بیمارستان در کشور پیدا می کند و دستگاه هایی مانند پمپ انسولین که در بسیاری از خانه ها استفاده می شود.

سوال اساسی: زمانی که هکرها دستگاه های مراقبت های حیاتی را می گیرند، مانند این مثال شدید، پزشکان هنوز می توانند بیمار را نجات دهند؟

دکتر جف توللی، که در کنار دکتر کریستین دانف، همجنسگرای هکر، تبدیل شده است، تظاهرات اینترنتی را توسعه داد، گفت: "این بسیار محرک، متقاعد کننده و تحریک کننده تجربه است."

Dameff در یک مصاحبه مشترک گفت: "ما هشدار را افزایش می دهیم."

دکتر Dameff هنگامی که از او پرسید که آیا بیشتر بیمارستان های ایالات متحده می توانند لحظه ای که حمله سایبری در حال انجام است تشخیص دهد، پاسخ داد: "من بیشتر نمی گویم، نه"، و اذعان کرد که "این یک مشکل برای سیستم مراقبت بهداشتی کشور است.

او توضیح داد: "ما بر این باور هستیم تاکید بیش از حد بر حفاظت از اطلاعات بیمار بجای حفاظت از مراقبت از بیمار قرار داده شده است." "ما به شوخی می گویم که ما حریم خصوصی بیمار را دوست داریم، اما ما می خواهیم آنها زنده بمانند تا از آن استفاده کنند."

دیمف گفت: "ما به شدت نگران زیرساخت هایی هستیم که برای مراقبت های بهداشتی مورد هدف قرار می گیرند. نمونه خوبی از این WannaCry است."

Wannacry شوک سایبری به یک سیستم مراقبت بهداشتی بود که بسیاری پیش بینی کرده بودند.

در سال 2017، بدافزار مخرب 16 بیمارستان در سراسر بریتانیا را تعطیل کرد. ایالات متحده آمریکا کره شمالی را متهم کرد. کارشناسان می گویند، ملت ها، بازیگران غیر دولتی، هکرها و دیگران در هنگام راه اندازی اعتصابات اینترنتی، از جمله به دلایل سیاسی یا مالی یا به سادگی برای کنجکاوی یا سرگرمی، انگیزه های گوناگونی دارند.

دکتر Dameff هشدار داد: "ما درس WannaCry را در ایالات متحده آموختیم."

دکتر توللی اضافه کرد: "چرا ما باید صبر کنیم تا مردم از این موضوع صدمه ببینند؟ چرا ما نمی توانیم مانع از این اتفاق شود؟"

هشدارهای سایبری رشد می کنند

اگر پیشگیری بهترین دارو باشد، تعداد زیادی از مکان ها اسکریپت دریافت نمی کنند.

گزارش امنیتی امنیت شرکت Netscout در سراسر جهان، حملات امنیتی را که شبکه های وب را در بیمارستان ها و دفاتر پزشکان شناخته اند و "حملات انکار سرویس توزیع شده" (DDoS) در 12 ماه گذشته به 1400 درصد افزایش یافته است، کشف کردند.

با وجود اینکه سه چهارم سازمان های بهداشتی در یک نظرسنجی اخیر گفتند که در سال گذشته "یک حادثه مهم امنیتی" داشته اند، تنها 9 درصد از سازمان های مراقبت های بهداشتی معتقدند که یکپارچگی زنجیره تامین یک تهدید بالقوه سایبری است.

وزارت امنیت داخلی فکر می کند در غیر این صورت.

در تحقیق انجام شده برای واحد تحقیقاتی ملی تلویزیون هارست، DHS اعلام کرده است که در سال مالی گذشته (29) بیشتر هشدارهای آسیب پذیری در مورد دستگاه های پزشکی را منتشر کرده است که از پنج سال پیش تلف شده است (23). این اداره گفت که آسیب پذیری های گزارش شده برای همه بخش ها - نه فقط پزشکی - از سال 2016 بیش از دو برابر افزایش داشته است، به 1302 در سال مالی 2018.

آیا ارائه دهنده خدمات پزشکی شما نقض سایبری رنج می برد؟ برای مشاهده نقض اطلاعات توسط: دولت، شرکت، نوع نقض، محل نقض، تاریخ و تعداد افرادی که تحت تأثیر قرار گرفته اند، در حال حاضر تحت بررسی وزارت امور خارجه ایالات متحده از اداره بهداشت و خدمات انسانی حقوق مدنی هستند.

تهدید رو به رشد سایبری این است که چرا دانیل بارد، مامور ارشد فناوری در ارواین، نرم افزار Promenade Software مبتنی بر کالیفرنیا که نرم افزار را برای وسایل پزشکی می سازد، کمک کرد تا سازمان اطلاعات تجزیه و تحلیل اطلاعات پزشکی (MedISAO) را راه اندازی کند. با نعمت اداره غذا و داروی، آن را به عنوان یک مرکز پاکسازی برای سازندگان دستگاه های معمول رقابت می کند تا داده ها را در مورد آسیب پذیری هایی که بر روی دستگاه های چندگانه تاثیر می گذارد - نه تنها از یک شرکت تاثیر می گذارد.

رید در یک مصاحبه توضیح داد: "اگر شما یک هکر هستید و به دنبال کسب بزرگترین سود هستید، می توانید به یک دستگاه پزشکی حمله نکنید. شما قصد حمله به کتابخانه ای که در آن استفاده می شود صدها دستگاه پزشکی. "

"کتابخانه" مخزن داده ها در یک دستگاه است، تقریبا همیشه کد برنامه های شخص ثالث را به چندین مشتری ارائه می دهد که تولید کنندگان می توانند برای استفاده در دستگاه دیگری در اختیار داشته باشند.

Wannacry شوک سایبری به یک سیستم مراقبت بهداشتی بود که بسیاری پیش بینی کرده بودند.

در سال 2017، بدافزار مخرب 16 بیمارستان در سراسر بریتانیا را تعطیل کرد. ایالات متحده آمریکا کره شمالی را متهم کرد. کارشناسان می گویند، ملت ها، بازیگران غیر دولتی، هکرها و دیگران در هنگام راه اندازی اعتصابات اینترنتی، از جمله به دلایل سیاسی یا مالی یا به سادگی برای کنجکاوی یا سرگرمی، انگیزه های گوناگونی دارند.

دکتر Dameff هشدار داد: "ما درس WannaCry را در ایالات متحده آموختیم."

دکتر توللی اضافه کرد: "چرا ما باید صبر کنیم تا مردم از این موضوع صدمه ببینند؟ چرا ما نمی توانیم مانع از این اتفاق شود؟"

هشدارهای سایبری رشد می کنند

اگر پیشگیری بهترین دارو باشد، تعداد زیادی از مکان ها اسکریپت دریافت نمی کنند.

گزارش امنیتی امنیت شرکت Netscout در سراسر جهان، حملات امنیتی را که شبکه های وب را در بیمارستان ها و دفاتر پزشکان شناخته اند و "حملات انکار سرویس توزیع شده" (DDoS) در 12 ماه گذشته به 1400 درصد افزایش یافته است، کشف کردند.

با وجود اینکه سه چهارم سازمان های بهداشتی در یک نظرسنجی اخیر گفتند که در سال گذشته "یک حادثه مهم امنیتی" داشته اند، تنها 9 درصد از سازمان های مراقبت های بهداشتی معتقدند که یکپارچگی زنجیره تامین یک تهدید بالقوه سایبری است.

وزارت امنیت داخلی فکر می کند در غیر این صورت.

در تحقیق انجام شده برای واحد تحقیقاتی ملی تلویزیون هارست، DHS اعلام کرده است که در سال مالی گذشته (29) بیشتر هشدارهای آسیب پذیری در مورد دستگاه های پزشکی را منتشر کرده است که از پنج سال پیش تلف شده است (23). این اداره گفت که آسیب پذیری های گزارش شده برای همه بخش ها - نه فقط پزشکی - از سال 2016 بیش از دو برابر افزایش داشته است، به 1302 در سال مالی 2018.

آیا ارائه دهنده خدمات پزشکی شما نقض سایبری رنج می برد؟ برای مشاهده نقض اطلاعات توسط: دولت، شرکت، نوع نقض، محل نقض، تاریخ و تعداد افرادی که تحت تأثیر قرار گرفته اند، در حال حاضر تحت بررسی وزارت امور خارجه ایالات متحده از اداره بهداشت و خدمات انسانی حقوق مدنی هستند.

تهدید رو به رشد سایبری این است که چرا دانیل بارد، مامور ارشد فناوری در ارواین، نرم افزار Promenade Software مبتنی بر کالیفرنیا که نرم افزار را برای وسایل پزشکی می سازد، کمک کرد تا سازمان اطلاعات تجزیه و تحلیل اطلاعات پزشکی (MedISAO) را راه اندازی کند. با نعمت اداره غذا و داروی، آن را به عنوان یک مرکز پاکسازی برای سازندگان دستگاه های معمول رقابت می کند تا داده ها را در مورد آسیب پذیری هایی که بر روی دستگاه های چندگانه تاثیر می گذارد - نه تنها از یک شرکت تاثیر می گذارد.

رید در یک مصاحبه توضیح داد: "اگر شما یک هکر هستید و به دنبال کسب بزرگترین سود هستید، می توانید به یک دستگاه پزشکی حمله نکنید. شما قصد حمله به کتابخانه ای که در آن استفاده می شود صدها دستگاه پزشکی. "

"کتابخانه" مخزن داده ها در یک دستگاه است، تقریبا همیشه کد برنامه های شخص ثالث را به چندین مشتری ارائه می دهد که تولید کنندگان می توانند برای استفاده در دستگاه دیگری در اختیار داشته باشند.

ریش، با استفاده از صفحه نمایش لپ تاپ و تلویزیون، نشان داد که چگونه شرکت خود یک کتابخانه نرم افزاری را برای آسیب پذیری، به ویژه آنهایی که می توانند مورد سوء استفاده قرار بگیرند، اسکن می کنند. در یک روز در ماه مارس، این برنامه 30 نقطه ضعف احتمالی را در نرم افزار شناسایی کرد. Promenade در حال برنامه ریزی برای استفاده در دستگاه چشم پزشکی است. هر آسیب پذیری در فونت قرمز برجسته شد.

فرهنگی که در حال رشد و در عین حال پرجمعیت است، فرهنگ به اشتراک گذاری اطلاعات بخشی از تکامل در جامعه دستگاه پزشکی است، که عادت به افشای اطلاعات خصوصی به رقبا و یا حفظ محصولات خود را با آخرین حفاظت از سایبر پس از خرید به روز شده است.

"هنگامی که شما یک دستگاه را به یک بیمارستان فروختید، باید برنامه ای برای چگونگی به روز رسانی آن را داشته باشید؛ به نظر می رسد که شما در حال رفع آسیب پذیری های جدید هستید." او گفت که سالهاست که در طرح کسب و کار تولید کنندگان دستگاه های پزشکی قرار نگرفته است.

"به وضوح 10 تا 15 سال پشت"

ریش یک متحد شگفت انگیز در مایکل مک نیل، افسر امنیت جهانی و خدمات Philips Healthcare است که در مصاحبه ای اعلام کرد که صنعتش "به وضوح 10 تا 15 سال پشت سر گذاشته" در امنیت آن است.

McNeil گفت: "من متاسف خواهم بود زیرا به علت پریشانی بودن، ما می توانیم به سرعت بخشیدن و حرکت صنعت در مسیر درست کمک کنیم."

در یک نشست FDA ژانویه در مورد مدیریت امنیت سایبر در دستگاه های پزشکی در خارج از واشنگتن، D.C.، McNeil از همتایان خود پرسید - به گفته وی - "قدم زدن" برای مقابله با چالش.

FDA این رویداد را با استفاده از صدها نفر از سهامداران صنعت مورد استفاده قرار داده است تا ابزارهای جدید امنیتی سایبرنوری را برای رسیدن به تأیید مورد نیاز خود قرار دهند.

دکتر سوزان شوارتز، معاون مدیر دفتر همکاری های استراتژیک و نوآوری های فناوری در مرکز دستگاه ها و بهداشت رادیولوژی در FDA، تلاش می کند و در مصاحبه ای تصریح کرد که هیچ پایگاه مرکزی ای وجود ندارد که حملات سایبری علیه بیمارستان ها و مراقبت های بهداشتی را دنبال کند ارائه دهندگان و عواقب آن حوادث.

دکتر شوارتز پاسخ داد: "بله، آن را بپرسید که آیا این امر مفید خواهد بود که چنین مخزنی از حوادث در سراسر کشور داشته باشد.