یک کارزار سایبری عظیم با استفاده از روش بروت فورس (Brute Force)، زیرساختهای حیاتی شبکه و تجهیزات امنیتی سازمانها را هدف قرار داده است. طبق گزارشهای جدید، مهاجمان با بهرهگیری از میلیونها آدرس آیپی، در تلاشاند تا با حدس زدن اعتبارنامهها (نام کاربری و رمز عبور)، کنترل تجهیزات لبه شبکه را به دست بگیرند.
این حمله نه تنها به دلیل حجم گسترده آن، بلکه به دلیل هدف قرار دادن تجهیزات برندهای معتبری مانند Palo Alto Networks، Ivanti، SonicWall و Cisco از اهمیت بالایی برخوردار است.
تایید بنیاد Shadowserver
برخلاف شایعات و گمانهزنیها، آمار این حمله توسط یکی از معتبرترین نهادهای رصد تهدیدات سایبری، یعنی بنیاد شادوسرور (The Shadowserver Foundation) تایید شده است. طبق دادههای منتشر شده توسط این بنیاد، این حملات از ماه گذشته آغاز شده و اخیراً شدت گرفته است، به طوری که روزانه حدود ۲.۸ میلیون آدرس آیپی منحصربهفرد در این حملات شرکت دارند.
این آمار نشان میدهد که ما با یک حمله پراکنده روبرو نیستیم، بلکه با یک عملیات سازمانیافته توسط باتنتهای عظیم مواجهیم.
کالبدشکافی فنی: ضعف تجهیزات یا اهمال مدیران؟
یکی از نکات کلیدی در این حمله، درک تفاوت بین «آسیبپذیری نرمافزاری» (Exploit) و «حمله بروت فورس» است. در این کارزار، هکرها از باگ یا حفره امنیتی (Zero-day) در تجهیزات سیسکو یا پالو آلتو استفاده نمیکنند. در واقع، خود تجهیزات از نظر فنی سالم هستند. مشکل اصلی در پیکربندی ناامن و رمزهای عبور ضعیف است.
مکانیزم دقیق حمله
- بمباران اعتبارنامهها: مهاجمان با استفاده از لیستهای افشا شده از نامهای کاربری و رمزهای عبور رایج (یا دزدیده شده در نشتهای اطلاعاتی قبلی)، به صورت مداوم تلاش میکنند وارد پنل مدیریت VPN یا فایروال شوند.
- هدفگیری پنلهای وب: بسیاری از تجهیزات شبکه دارای رابط کاربری تحت وب هستند که متاسفانه در بسیاری از سازمانها مستقیماً روی اینترنت عمومی (Public Internet) در دسترس قرار گرفتهاند.
- تزریق باتنت: به محض اینکه رمز عبور صحیح حدس زده شود، هکر وارد دستگاه شده و بدافزار خود را نصب میکند تا دستگاه را به بخشی از شبکه باتنت خود تبدیل کند.
نکته حیاتی: موفقیت این حملات مستقیماً به ضعف سیاستهای رمزنگاری سازمانها برمیگردد. استفاده از رمزهای پیشفرض کارخانه (مانند admin/admin) یا رمزهای ساده، فرش قرمز را برای نفوذگران پهن میکند.
بیشتر بخوانید : ۳ کاربرد شگفتانگیز NAS | فراتر از ذخیرهسازی فایل
جغرافیای حمله و ارتش سایبری
بر اساس تحلیلهای شادوسرور، منشأ این حملات بسیار پراکنده است اما تمرکز اصلی بر روی کشورهای خاصی دیده میشود. بیشترین حجم ترافیک مخرب (حدود ۱.۱ میلیون آیپی) از برزیل سرچشمه میگیرد. سایر کشورها در رتبههای بعدی عبارتند از:
- ترکیه
- روسیه
- آرژانتین
- مراکش
- مکزیک
سربازان این ارتش چه دستگاههایی هستند؟
جالب است بدانید که آیپیهای حملهکننده متعلق به هکرهای پشت سیستم نیستند. اینها دستگاههای اینترنت اشیا (IoT) و روترهای خانگی آلوده از برندهایی نظیر میکروتیک (MikroTik)، هواوی، ZTE و Boa هستند که پیشتر توسط بدافزارها تسخیر شده و اکنون به عنوان “زامبی” برای حمله به اهداف بزرگتر (تجهیزات سازمانی) استفاده میشوند.
هدف نهایی: تبدیل سازمان به “پراکسی مسکونی”
شاید بپرسید چرا هکرها به دنبال نفوذ به روتر یک شرکت هستند؟ پاسخ در ارزش “اعتبار آیپی” (IP Reputation) نهفته است.
پنهان شدن در ترافیک عادی: استفاده از این تکنیک باعث میشود ترافیک هکر شبیه به ترافیک یک کاربر خانگی یا شرکتی عادی به نظر برسد و شناسایی آن برای سیستمهای دفاعی بسیار دشوار شود.
ایجاد گره خروجی (Exit Node): هکرها تجهیزات گرانقیمت سازمانی (مانند فایروالهای سیسکو) را هک میکنند تا ترافیک سایر فعالیتهای مجرمانه خود را از طریق آنها عبور دهند.
دور زدن لیستهای سیاه: سازمانهای معتبر معمولاً آیپیهای “تمیز” دارند که توسط وبسایتها و بانکها مسدود نشدهاند. هکرها با تبدیل دستگاه شما به یک پراکسی، فعالیتهای مخرب خود (مثل کلاهبرداری اینترنتی یا خرید غیرمجاز بلیط) را با هویت سازمان شما انجام میدهند.
سابقه حملات مشابه
این روش جدید نیست و بارها توسط غولهای فناوری هشدار داده شده است:
- اوریل گذشته (بهار): شرکت Cisco هشداری جدی در مورد حملات بروت فورس گسترده علیه دستگاههای CheckPoint، Fortinet و Ubiquiti صادر کرد.
- دسامبر (زمستان): شرکت Citrix نیز گزارشهایی مبنی بر حملات “Password Spraying” (تست یک رمز روی هزاران اکانت) علیه دستگاههای NetScaler خود منتشر کرد.
۵ اقدام فوری برای مدیران شبکه
با توجه به اینکه این حمله بر پایه ضعف رمز عبور و پیکربندی استوار است، راهکارهای زیر برای ایمنسازی تجهیزات لبه (Edge Devices) الزامی است:
آپدیت فرمور (Firmware): اگرچه این حمله مستقیماً اکسپلویت نیست، اما آپدیتها باگهایی که ممکن است به هکرها دسترسی اولیه بدهند را برطرف میکنند.
حذف دسترسی مدیریتی از اینترنت: پنلهای مدیریت وب (Web Admin Interface) را از روی اینترنت عمومی غیرفعال کنید. دسترسی باید فقط از طریق شبکه داخلی یا یک VPN امن امکانپذیر باشد.
خداحافظی با رمزهای پیشفرض: بلافاصله پس از نصب تجهیزات، نام کاربری و رمز عبور پیشفرض را تغییر دهید. استفاده از رمزهای طولانی و پیچیده، مقاومت در برابر حملات بروت فورس را به شدت افزایش میدهد.
اجبار احراز هویت چندعاملی (MFA): فعالسازی MFA حیاتیترین گام است. حتی اگر هکر رمز عبور را بدست آورد، بدون کد دوم (OTP) قادر به ورود نخواهد بود.
محدودسازی جغرافیایی (Geo-Blocking): اگر کارمندان شما فقط در ایران هستند، دلیلی ندارد آیپیهای برزیل یا روسیه بتوانند صفحه لاگین VPN شما را ببینند. دسترسی را به لیست سفید (Allowlist) محدود کنید.