حمله هکرها، به روترهای سیسکو

به گزارش کارگروه امنیت سایبربان؛ 2 روز پس از کشف و رفع آسیب‌پذیری شدید در روترهای مشهور «SOHO» ازسوی سیسکو و یک روز بعد از کد اثبات مفهوم، هکرها با بهره گیری از اشکال امنیتی برای غلبه بر دستگاه‌های آسیب‌پذیر، شروع به اسکن و حمله کردند.

این آسیب‌پذیری، با نام «CVE-2019-1663»، در ماه فوریه امسال، به علت کسب امتیاز تهدید بالای 9.8، از 10 ازسوی تیم امنیتی شرکت سیسکو، مورد توجه قرار گرفت.

دلیل به دست آوردن رتبه بالای تهدید، این بود که آسیب پذیری یادشده، به مهارت‌های کدگذاری پیشرفته و روال عادی حمله پیچیده، نیازی ندارد و به‌طور کامل از روش‌های احراز هویت، عبور می‌کند. روترها نیز می‌توانند از طریق اینترنت، بدون نیاز به حضور فیزیکی هکرها، در همان شبکه محلی، به عنوان یک دستگاه آسیب‌پذیر، مورد حمله قرار گیرند.

مدل‌های آسیب‌دیده شامل: «RV110» ،«RV130» و «RV215»، در شرکت سیسکو، به عنوان روترهای وای‌فای مورد استفاده در کسب و کارهای کوچک و خانه‌های مسکونی هستند. 

این بدان معنی است که صاحبان این دستگاه‌ها، به احتمال فراوان، به هشدارهای امنیتی سیسکو، توجهی نخواهند داشت و اکثر این روترها، برخلاف محیط‌های بزرگ شرکتی، با کارمندان فناوری اطلاعات مشغول به کار در تعمیرات سیسکو، به‌صورت آسیب‌پذیر، باقی خواهند ماند.

براساس اسکن انجام شده ازسوی شرکت امنیت سایبری «Rapid7»، بیش از 12 هزار نمونه از این دستگاه‌ها، به راحتی به‌صورت آنلاین، در دسترس قرار می‌گیرند که بیشتر آن‌ها در ایالات متحده، کانادا، هند، آرژانتین، لهستان و رومانی هستند. به گفته شرکت امنیت سایبری «Bad Packets»، تمام این دستگاه‌ها، در حال حاضر در برابر حمله، آسیب پذیر هستند.

مشاهده افزایش اسکن «login.cgi» به احتمال فراوان، برای پیگیری آسیب‌پذیری در روترهای «RV110W» ،«RV130W» و «RV215W» سیسکو است. شرکت بالا، هکرهایی را شناسایی کرد که این نوع روترها را به کمک بهره‌برداری منتشرشده، یک روز زودتر در وبلاگ شرکت امنیت سایبری «Pen Test Partners»، واقع در بریتانیا، اسکن می‎کردند.

یکی از محققان شرکت نام برده، با همکاری 2 متخصص امنیتی چینی دیگر –که سال گذشته، آسیب‌پذیری خاصی را کشف کردند– این کار را انجام دادند. شرکت یادشده، در وبلاگ خود، ریشه «CVE-2019-1663» را در رمزگذاری‌های سیسکو، با استفاده از يك عملکرد نامعلوم ناایمن زبان برنامه‌نويسي «C» به نام رشته کپی (strcpy)، مقصر دانست.

پست وبلاگ شرکت «Pen Test Partners»، شامل توضیح چگونگی استفاده از این برنامه در مکانیسم احرازهویت روترهای RV110، RV130 و RV215 سیسکو بود که به هکرها اجازه یافتن رمز عبور و الصاق دستورهای مخرب اجراشده را با دستور ادمین در طول مراحل تأیید اعتبار می‌داد.
مهاجمان با مشاهده پست وبلاگ، ظاهراً با کاربرد مثال ارائه شده در مقاله این شرکت، بر دستگاه‌های آسیب‌پذیر، غلبه می‌کردند. هرکدام از مالکان دستگاه‌ها، باید در اسرع وقت، به‌روزرسانی را انجام دهند. اگر آن‌ها، به روترهای در معرض خطر خود، ایمان داشته باشند، بازیابی سفت‌افزار دستگاه، سفارش می‌شود.