به گزارش کارگروه حملات سایبری سایبربان؛ شرکت امنیت سایبری اسرائیلی گواردیو (Guardio) از مجموعه آسیبپذیریهای امنیتی جدی در زیرساخت ایمیل قدیمی متعلق به ارائه دهنده خدمات اینترنتی (ISP) اسرائیلی نِتویژن (NetVision) پرده برداشت که در حال حاضر توسط غول مخابراتی سِلکام (Cellcom) اداره میشود.
یکی از این نقصها قبلاً در یک کمپین فیشینگ مورد سوءاستفاده قرار گرفته است که خود را به جای مقامات دولتی رژیم صهیونیستی جا زده و رایانههای قربانیان را با بدافزار دسترسی از راه دور آلوده کرده است. مهاجمان عملاً از سرورهای سِلکام - نِتویژن به عنوان یک سیستم پستی خصوصی برای حملات سایبری خود استفاده میکردند. سِلکام ادعا کرد که به سرعت پاسخ داده و مشکلات را برطرف کرده است.
یکی از آسیبپذیریهای مورد سوءاستفاده، که به عنوان «رله باز» طبقهبندی میشود، به این معنی که سرور ایمیل میتواند توسط هر کسی بدون احراز هویت استفاده شود، توسط هکرهای طرفدار فلسطین برای انجام یک کمپین فیشینگ در مقیاس بزرگ استفاده شد. مهاجمان از سرورهای نِتویژن برای ارسال ایمیلهای جعلی استفاده کردند که به نظر میرسید از آدرسهای رسمی رژیم صهیونیستی، از جمله دامنه معتبر «gov.il»، ارسال شدهاند.
در نتیجه، هزاران اسرائیلی ایمیلهایی دریافت کردند که به نظر میرسید اطلاعیههای رسمی در مورد تحقیقات پلیس یا بدهیهای مالیاتی هستند. این ایمیلها شامل پیوستهایی بودند که هنگام باز شدن، بدافزاری را نصب میکردند و به هکرها امکان کنترل کامل از راه دور رایانه گیرنده را میدادند. پیامها بسیار قانعکننده بودند، فیلترهای اسپم را دور میزدند و مستقیماً در صندوق ورودی کاربران قرار میگرفتند.
ناتی تال (Nati Tal)، رئیس تحقیقات گاردیو، گفت:
«ما به راحتی توانستیم ارسال ایمیلهای جعلی را که مشابه ارتباطات رسمی از سِلکام، بندر اشدود، شهرداری نتانیا، هتلهای زنجیرهای «Isrotel»، بانک هاپوآلیم و موارد دیگر بودند، تکرار کنیم. این ایمیلها از تمام بررسیهای امنیتی عبور کردهاند و به اهداف خود رسیدهاند. این امر راه را برای حملات بسیار پیچیدهای باز میکند که تشخیص آنها بسیار دشوار است.»
علاوه بر آسیبپذیری مورد سوءاستفاده، محققان گاردیو 2 نقص جدیتر را شناسایی کردند که هنوز مورد استفاده قرار نگرفته بودند، اما تهدیدات قابل توجهی را ایجاد میکردند؛ مورد اول امکان جعل کامل دامنههای مشتریان تجاری سِلکام را فراهم میکرد و پروتکلهای استاندارد احراز هویت ایمیل مانند «SPF» و «DMARC» را دور میزد که برای تأیید هویت فرستنده طراحی شدهاند.
نقص دوم، که به عنوان خطرناکترین نقص توصیف شده، به مهاجمان اجازه میداد تا ایمیلهای کاملاً ناشناس را بدون نیاز به نام کاربری یا رمز عبور، از طرف مشتریان سِلکام یا هر دامنه دیگری ارسال کنند. این امر میتوانست تلاشهای فیشینگ گسترده با جعل هویت بانکها، ادارات دولتی، شرکتهای بیمه یا برندهای شناختهشده را برای سرقت رمزهای عبور، جزئیات کارتهای اعتباری یا به دست گرفتن کنترل تلفنهای هوشمند، لپتاپها و سیستمهای سازمانی فعال کند. گواردیو هشدار داد که سناریویی که در آن یک هکر خود را به عنوان مدیرعامل شرکت جا بزند و دستورالعملهای پرداخت جعلی را برای مدیر ارشد مالی ارسال کند، در چنین شرایطی کاملاً محتمل است.
گواردیو ادعا کرد که بلافاصله با سِلکام تماس گرفته و این شرکت با همکاری کامل و سرعت بیسابقه برای رفع نقصها پاسخ داده است. مهندسان سِلکام زیرساخت ایمیل نِتویژن را بهروزرسانی و مقاومسازی و مجوزهای صدها هزار کاربر را اصلاح کردهاند. شرکت خاطرنشان کرد که این کار را تحت محدودیتهای فنی و در عین حال با حفظ سرویس بدون وقفه انجام داده است.
گواردیو همچنین به اداره ملی سایبری رژیم صهیونیستی و ثبتکنندگان دامنه بینالمللی هشدار داد. آنها با همکاری یکدیگر، سرورهای فرماندهی و کنترل (C&C) مورد استفاده در کمپین فیشینگ را غیرفعال، به طور مؤثر گسترش آن را متوقف و ارتباط بین مهاجمان و دستگاههای آلوده را قطع کردند. این پرونده بار دیگر پاشنه آشیل ارائه دهندگان خدمات بزرگ را برجسته میکند: یک ارائه دهنده آسیبپذیر میتواند هزاران سازمان و فرد را در معرض تهدیدات سایبری گسترده قرار دهد. این امر به ویژه زمانی که فضای سایبری به جبههای فعال در درگیریهای ژئوپلیتیکی تبدیل شده، بسیار حیاتی است. اگرچه این حادثه به سرعت مهار شد، اما ممکن است نقضهای امنیتی آینده به راحتی قابل حل نباشند.
کارشناسان معتقدند که سیستمهای ایمیل به دلیل پروتکلهای قدیمی، همچنان یک نقطه ضعف امنیتی قابل توجه هستند. ایمیل و پیامک از جمله آسانترین کانالها برای سوءاستفاده برای حملات فیشینگ و بدافزار هستند.
اداره ملی سایبری رژیم صهیونیستی هنوز به سؤالاتی در مورد اینکه آیا سرویسهای ایمیل سایر ارائه دهندگان خدمات مخابراتی اسرائیل برای آسیبپذیریهای مشابه حسابرسی شدهاند یا خیر، پاسخی نداده است.
نِتویژن در بیانیهای مدعی شد:
«همه تیمهای مربوطه به سرعت برای مهار خسارت اقدام کردند. ما در حال بررسی این حادثه هستیم و به بهبود سیستمهای خود برای جلوگیری از وقوع حوادث آینده ادامه میدهیم.»
