انتشار ابزار آشکارساز آسیبپذیری CVE-۲۰۲۰-۰۶۸۸
به گزارش کارگروه امنیت سایبربان، کد منبع اولین نسخه این ابزار باهدف اشتراک دانش با کارشناسان این حوزه از طریق پایگاه اطلاعرسانی این مرکز منتشرشده است.
با توجه به اهمیت موضوع، مرکز افتا همچنین از کارشناسان و تحلیلگران مراکز عملیات امنیت زیرساختهای کشور خواسته است تا برای بهبود عملکرد ابزار معرفیشده این مرکز، پیشنهادات خود را با را عنوان CVE-۲۰۲۰-۰۶۸۸ به ایمیل [email protected] ارسال کنند.
شرکت مایکروسافت آسیبپذیری سرویس Exchange با شناسه CVE-۲۰۲۰-۰۶۸۸ را بهعنوان یک آسیبپذیری بسیار خطرناک در تاریخ ۲۲ بهمن ۹۸، اطلاعرسانی و اصلاحیه امنیتی مربوط به آن را منتشر کرد و کد سوءاستفاده از این آسیبپذیری نیز در ابتدای اسفند ۱۳۹۸ بهصورت عمومی منتشر شد.
تمامی نسخههای Exchange که فاقد آخرین بهروزرسانیهای منتشرشده از سوی مایکروسافت هستند، آسیبپذیر بوده و باید بلافاصله بهروزرسانی شوند. نسخ از رده خارجی که پشتیبانی Microsoft از آنها به پایان رسیده نیز نسبت به شناسه CVE-۲۰۲۰-۰۶۸۸ آسیبپذیر هستند. اگرچه در توصیهنامه این شرکت صریحاً از آنها نامبرده نشده است.
این آسیبپذیری که Exchange Control Panel (بهاختصار ECP) از آن تأثیر میپذیرد از عدم توانایی Exchange در ایجاد کلیدهای رمزگاری منحصربهفرد در زمان نصب محصول ناشی میشود.
مهاجم با استفاده از آسیبپذیری مذکور میتواند کد موردنظر خود را از راه دور با سطح دسترسی SYSTEM بر روی سرور اجرا کند.
در عمل هر مهاجمی که موفق به دستیابی به اطلاعات اصالتسنجی حداقل یکی از کاربران سازمان شود، امکان بهرهجویی از این آسیبپذیری و درنهایت در اختیار گرفتن کنترل سرور Exchange را خواهد داشت.
متأسفانه باوجود اطلاعرسانیهای متعدد صورت پذیرفته، نشانههایی از آسیبپذیری و آلودگی سرورهای مختلفی در سطح کشور مشاهده میشود.
با بررسی تکنیکهای استفادهشده در این مجموعه حملات، میتوان این نتیجه را گرفت که استفاده از روشهای تشخیص مبتنی بر امضا، بههیچعنوان نمیتوانند راهکاری برای تشخیص اینگونه حملات باشند. بهعبارتدیگر وجود تحلیلگر خبره در مراکز عملیات امنیت و استفاده از ابزار تشخیصی مبتنی بر رفتار، لازمهی تشخیص حملاتی ازایندست، خواهد بود.
مرکز مدیریت راهبردی افتا از تحلیلگران و کارشناسان مراکز عملیات امنیت میخواهد تا بعد از مطالعه فایل راهنما، ابزار آشکارساز تحت عنوان “CVE-۲۰۲۰-۰۶۸۸_Detector.exe” را بر روی سرورهای Exchange اجرا (حتی اگر "به آخرین نسخه" بهروزرسانی شده است) و در صورت وجود شواهدِ نفوذ، مراتب را سریعاً منعکس کنند.
با توجه به اینکه در مواردی دیدهشده که بهروزرسانی سرور Exchange بعد از نفوذ مهاجمین شکلگرفته است، این احتمال وجود دارد که دسترسی مهاجمین حتی بعد از بهروزرسانی همچنان برقرار باشد. همچنین این احتمال وجود دارد که مهاجم با گسترش دسترسی خود به قسمتهای دیگر شبکه قربانی، وب شل و یا سایر ابزار مخرب اولیه خود را از روی سرور Exchange پاککرده باشد.
