اطلاعیه در خصوص هک شدن سایت زرین پال
به گزارش کارگروه حملات سایبری سایبربان؛ در تاریخ ۱۲ مرداد ۱۳۹۷حدود ساعت ۲۰:۰۸ روتر Edge شرکت زرینپال که از برند میکروتیک بوده است مورد حمله قرار گرفت و با استفاده از باگی که مدتی قبل نیز توسط مرکز ماهر گزارش شده بود، از طریق تکنیک IP Spoofing ترافیک به خارج از ایران منتقل شده و صفحه Deface بجای سایت زرینپال بارگذاری شده است.
در این زمان سایت جعلی که شامل خبر بوده به جای سایت اصلی زرینپال نمایش داده میشد.
با توجه به بررسیهای کارشناسی شده و با توجه به نوع زیرساخت طراحی شده توسط زرینپال، دسترسی نفوذکننده تنها به همین لایه محدود بوده و امکان دسترسی به دادههای مشتریان میسر نیست. بدیهی است با توجه به نوع نفوذ و تجهیزات درگیر حتی امکان حمله Man In the Middle هم برای نفوذکننده وجود نداشته است.
تصاویر منتشر شده نیز موید این موضوع است که سایت Deface بارگذاری شده فاقد SSL بوده و شخص نفوذ کننده تنها قادر به انتقال ترافیک به سمت سرور خود بوده است و هیچگونه نفوذی به زیرساخت زرینپال صورت نپذیرفته است.
وظیفه روتر مورد بحث، برقراری Uplink و BGP با دیتاسنتر بوده است و هیچ نوع وظیفهای اعم از برقراری Routing و Vlaning برای لایههای پایینتر نداشته است. توضیح اینکه بر روی روتر مورد بحث تنها ۲ پورت فعال بوده است که وظیفه برقراری با Uplink بالادستی و فایروال پاییندست موسوم به Access را بر عهده داشته است.
با توجه به اینکه SSL Termination در لایههای پایینتر انجام میشود، کلیه ترافیک عبوری از این روتر به صورت Encrypted بوده و در این لایه دیتای خامی عبور نمینماید.
کنترل دسترسی به سرورهای دیتابیس در ۲ لایه پایینتر از روتر Edge صورت پذیرفته و تنها سرورهای واقع در یک Vlan اجازه دسترسی به دیتابیسها را دارند و ادعای دسترسی به دیتابیس با توجه به زیرساخت و نوع تجهیزات درگیر در نفوذ، فاقد اعتبار بوده و به هیچ عنوان امکانپذیر و عملی نیست.
بدیهی است که DBMS ها علاوهبر کنترل ACL خود، دارای نام کاربری و رمز عبور میباشند و جهت دسترسی به آن باید از رمز عبور و شیوه احراز هویت آن مطلع بود.
با این وجود با اطمینان به کاربران زرینپال اعلام میداریم هیچگونه دسترسی به اطلاعات کاربری آنها به وجود نیامده است.
تایملاین
چارت زمانی اقدامات صورت گرفته برای رفع مشکل پیشآمده:
± ۲۰:۰۸ کشف اختلال در لایه شبکه بیرونی زرینپال و شروع بررسی توسط تیم فنی.
± ۲۰:۲۲ انتشار اولین خبر هک شدن سایت زرینپال.
± ۲۰:۳۶ تیم فنی زرینپال روتر و وب سرویس اصلی زرینپال را از دسترس خارج کرد و با هماهنگی دیتاسنتر آسیاتک شروع به رفع مشکل پیش آمده و حرکت به سمت دیتاسنتر کرد.
± ۲۰:۵۱ درخواست قطع ارتباط BGP از سمت دیتاسنتر.
± ۲۱:۵۰ رسیدن تیم فنی به دیتاسنتر (به دلیل برگزار بودن کنسرت زمان زیادی برای رسیدن به دیتاسنتر صرف شد.)
± ۲۱:۵۵ تیم فنی زرینپال اقدام به تعویض فیزیکی روتر و تنظیمات مورد نیاز بر روی روتر جدید نمود. همچنین بررسی وجود حفرههای امنیتی در قسمتهای پایینتر شبکه و احتمال نفوذ به آنها توسط تیم فنی زرینپال آغاز گردید.
± ۲۲:۲۲ حل کامل مشکل و بازگردانی سایت زرینپال به حالت عادی.
در انتها از همکاری تیم آسیاتک، مرکز ماهر، آدانیک و همچنین پیگیریهای پلیس فتا تشکر میکنیم و از همراهی و صبوری دوستان و کاربران زرینپال ممنون هستیم.
