حمله هکرهای روسی به زیرساخت‌های حیاتی با دستگاه‌های پیشرفته

به گزارش کارگروه بین‌الملل سایبربان؛ تیم اطلاعات تهدید آمازون (Amazon) ادعا کرد که یک گروه هکری مرتبط با روسیه، حداقل از سال ۲۰۲۱ سازمان‌های زیرساخت حیاتی را با استفاده از آسیب‌پذیری‌های موجود در دستگاه‌های پیشرفته آنها هدف قرار داده که نشان‌دهنده تغییر نگران‌کننده‌ای به سمت سوءاستفاده از نقص‌های شناخته‌شده در تجهیزات شبکه رایج است.

محققان آمازون در یک پست وبلاگی نوشتند:

«تغییر رویکرد عامل تهدید به سمت دستگاه‌های پیشرفته نشان‌دهنده یک تحول نگران‌کننده است. در حالی که هدف قرار دادن پیکربندی نادرست مشتری حداقل از سال ۲۰۲۲ ادامه داشته است، این عامل در سال ۲۰۲۵ تمرکز مداوم خود را بر این فعالیت حفظ کرده و در عین حال سرمایه‌گذاری در بهره‌برداری از آسیب‌پذیری‌های روز صفر و روز-نزدیک را کاهش داده است.»

طبق این گزارش، مهاجمان پس از به خطر انداختن این دستگاه‌ها، ترافیک شبکه حاوی اطلاعات ورود را رهگیری و از این اطلاعات برای دسترسی به پلتفرم‌های ابری و تثبیت بیشتر خود در محیط‌های قربانی استفاده کرده‌اند.

دستگاه‌های پیشرفته، از جمله فایروال‌ها و رابط‌های مدیریت شبکه، منبع خطر رو به رشدی برای سازمان‌ها هستند که دست کم گرفته شده‌اند. سیسکو (Cisco)، شبکه‌های پالو آلتو (Palo Alto Networks)، ایوانتی (Ivanti) و فورتی‌نت (Fortinet) در طول سال گذشته بارها آسیب‌پذیری‌های جدی در دستگاه‌های پیشرفته خود را افشا کرده‌اند. گزارش آمازون، تحقیقات قبلی را که نشان می‌داد هکرهای چینی و سایر دولت‌های ملی، دستگاه‌های پیشرفته را به عنوان مسیرهای دسترسی اولیه ترجیح می‌دهند، تکمیل می‌کند.

آمازون مدعی شد که هکرهای مرتبط با روسیه با هدف قرار دادن دستگاه‌های پیشرفته با نقص‌های شناخته شده اما پچ نشده به جای تلاش برای یافتن و بهره‌برداری از آسیب‌پذیری‌های جدید، حجم کار و شانس کشف شدن خود را به طور قابل توجهی کاهش دادند و در عین حال همان نتایج عملیاتی، برداشت اعتبارنامه و حرکت جانبی به خدمات و زیرساخت‌های آنلاین سازمان‌های قربانی را حفظ کردند.

محققان آمازون، هکرها را براساس زیرساخت‌ها و هدف‌گیری‌هایی که با کمپین بدنام «Sandworm» روسیه علیه زیرساخت‌های حیاتی در اوکراین و جاهای دیگر همپوشانی داشت، به آژانس اطلاعات نظامی روسیه (GRU) مرتبط دانستند. هکرها در درجه اول، تأسیسات برق، ارائه دهندگان خدمات مدیریت شده متخصص در بخش انرژی، شرکت‌های مخابراتی، پلتفرم‌های همکاری ابری و پایگاه‌های داده کد منبع را هدف قرار دادند. بیشتر قربانیان در آمریکای شمالی، اروپا و خاورمیانه بودند.

آمازون گفت:

«این هدف‌گیری نشان دهنده تمرکز مداوم بر زنجیره تأمین بخش انرژی است، از جمله اپراتورهای مستقیم و ارائه دهندگان خدمات شخص ثالث که به شبکه‌های زیرساخت حیاتی دسترسی دارند.»

اقدامات پیشگیرانه دفاع سایبری

آمازون اعلام کرد که برای جلوگیری از قربانی شدن بعدی این استراتژی، سازمان‌ها باید فوراً تمام دستگاه‌های پیشرفته خود را برای یافتن نشانه‌هایی مبنی بر اینکه مهاجمان آنها را به خطر انداخته‌اند و از آنها برای رهگیری ترافیک شبکه استفاده می‌کنند، بررسی کنند. کسب‌وکارها همچنین باید احراز هویت قوی را اعمال، شبکه‌های خود را تقسیم‌بندی و تلاش‌های مشکوک برای ورود به سیستم را بررسی کنند و قرار گرفتن غیرضروری دستگاه‌ها در معرض اینترنت را کاهش دهند.

آمازون سازمان‌های بخش انرژی را تشویق کرد تا تلاش‌های ورود به سیستم را از فهرست ارائه شده از شاخص‌های خطر بررسی کنند.

شرکت ادعا کرد که کاربران پلتفرم ابری آمازون می‌توانند ویژگی‌های خاصی را برای محدود کردن دسترسی کاربر، اسکن آسیب‌پذیری‌ها و ثبت فعالیت‌های مشکوک فعال کنند.