هکرها چه‌طور به شبکه نهاد​های دولتی آمریکا نفوذ کردند؟

احمد باطبی

روز یک‌شنبه، ۲۳ آذر ماه، خبرگزاری «رویترز» در گزارشی اختصاصی فاش کرد که دست‌​کم وزارت خزانه​‌داری آمریکا و اداره اطلاعات و ارتباطات ملی وزارت بازرگانی، دو نهاد دولتی هستند که هکرهای وابسته به یک دولت خارجی به شبکه​ داخلی آن‌ها نفوذ کرده و ایمیل​ کارکنان آن‌ها را زیر نظر گرفته‌​اند.

بنا بر این گزارش، مهاجمان با نفوذ به دفتر نرم​​‌افزاری اداره اطلاعات و ارتباطات ملی آمریکا، ایمیل​​‌هایی را که با نرم‌​​افزار «آفیس ۳۶۵» فعال بوده‌اند، هک کرده‌اند و گویا ضمن عبور از بخش پیچیده احراز هویت شرکت «مایکروسافت»، دست‌​کم از تابستان امسال به اکثر ایمیل​‌های کارکنان دولت ایالات متحده دسترسی داشتند.

این نفوذ سایبری به حدی جدی بود که شورای امنیت «کاخ سفید»، روز شنبه سیزدهم دسامبر تشکیل جلسه داده است و به بخش‌​های مختلف دولت ایالات متحده اعلام آماده‌باش داده است.

رویترز به نقل از منابع آگاه در این مورد نوشته است، بعید نیست که هکرها با استفاده از همان ابزار و سازوکاری که به وزارت​خانه‌​های خزانه‌​داری و بازرگانی نفوذ کرده‌اند، بخش‌​های دیگری از دولت ایالات متحده، شرکت‌​های مطرح اقتصادی و کمپانی‌​های فعال در حوزه اینترنت نیز نفوذ کرده و در حال جاسوسی از آن‌ها باشند.

هر چند مظنون اول این حمله بی‌​سابقه سایبری، هکرهای تحت حمایت روسیه اعلام شدند، اما سفارت روسیه در واشنگتن اتهام تهاجم سایبری به سیستم​‌های دولتی آمریکا را رد کرده و انجام آن را در تضاد با منافع ملی و اصول روابط خارجی روسیه دانسته است. با این حال، پلیس فدرال آمریکا «FBI» تحقیقات خود را درباره هکرهای روسی، از جمله گروه «تهدید پیشرفته مستمر۲۹» (APT29) یا (Cozy Bear) آغاز کرده است.

چند روز پیش از این حمله، شرکت امنیتی «فایرآی» (FireEye) اعلام کرده بود که ایالات متحده، بخش‌هایی از آمریکای شمالی، اروپا، آسیا، خاورمیانه و حتی خود شرکت فایرآی، از سوی یک کشور خارجی در بالاترین سطح مورد تهاجم سایبری قرار گرفته‌اند.

این شرکت هم‌زمان با انتشار خبر رویترز، گزارشی را در وب‌سایت خود منتشر کرد و از کشف یک کمپین نفوذ بین‌​المللی با عنوان «UNC2452» خبر داد. فایر​آی فاش کرد که حملات گسترده صورت‌گرفته، از طریق نسخه به‌روزرسانی‌شده بدافزار موسوم به «SUNBURST» انجام شده و احتمالا از اوایل بهار سال جاری میلادی، امکان یک زنجیره از حملات وسیع به محصول تجاری «SolarWinds Orion» را فراهم کرده است.

«سولار ویندز» یک بستر نرم‌​افزاری محصول شرکت «SolarWinds Inc» مستقر در ایالت تگزاس آمریکا است که از طریق آن می‌​توان شبکه​‌های بزرگ، حاوی سرورها، ایستگاه‌​های کاری، تلفن‌​های همراه و اینترنت اشیا را مدیریت​‌ کرد و بر آن کنترل داشت.  حالا نسخه‌های به‌روزرسانی Orion 2019.4 تا 2020.2.1 که بین ماه مارس تا ژوئن امسال منتشر شده‌اند، همه آلوده به بدافزار هستند.

بخشی از سولار ویندز به نام «SolarWinds.Orion.Core.BusinessLayer.dll» که با افزونه‌هایی از نرم‌​افزار «Orion» امضاشده، دارای یک در پشتی است که قادر است از طریق پروتکل HTTP با شخص ثالث ارتباط برقرار کند. بدافزار «SUNBURST» در حقیقت نسخه تروجان‌شده این پلاگین است که امکان ایجاد یک مسیر نفوذ یا «Backdoor» را فراهم می‌​کند. این تروجان بعد از یک دوره سکوت دو هفته‌​ای در سیستم قربانی، اقدام به اجرای دستورهایی موسوم به «Jobs» می‌​کند که شامل انتقال پرونده​‌ها، اجرای فایل‌​ها، پروفایل کردن سیستم، ری‌​بوت کردن سیستم و غیرفعال ​کردن خدمات سیستم است. این بدافزار بار ترافیک خود را با استفاده از پروتکل Orion Improvement Program»» یا OIP مخفی و ضمن ذخیره فایل​‌های مربوط به فعالیت‌​های خود به شکل قانونی، اجازه می‌​دهد که این فایل​‌ها با فایل‌​های خود سولار ویندز نیز ترکیب شوند. این بدافزار همچنین، با استفاده از ابزارها و فرایند​های قانونی سیستم، خود را از دید آنتی‌ویروس‌​ها پنهان می‌کند.

از جمله قابلیت‌های منحصر به فرد این بدافزار توسعه‌​یافته، استفاده از الگوریتم تولید دامنه (DomainName یا DGA) برای درخواست​‌های DNS، پاسخ‌های CNAME برای اتصال بدافزار به دامنه C2، استفاده از ماسک کنترل و فرمان، برای مشروع جلوه دادن رفتار تروجان و استفاده از مولفه و متغیرهای جعلی برای پیوند با افزونه​‌های قانونی سیستم است، که در نوع خود کم‌​نظیر است.

اگر چه شرکت فایرآی راه‌کاری را برای ترمیم این نقطه‌ضعف‌​ها ارائه کرده است و شرکت‌​های ارائه‌دهنده آنتی‌ویروس و همچنین آنتی‌ویروس پیش‌فرض ویندوز این بسته ترمیمی را به محصولات خود افزوده‌اند، اما نکته فاجعه‌بار این‌‌جاست که به احتمال فراوان، آغاز این بحران به دلیل بی‌​احتیاطی سولار ویندز و بارگزاری گواهی​‌های اعتبار سرورهایش در مخزن گیت‌​هاب در سال ۲۰۱۹ است.

«کلی هانسلوان»، متخصص بدافزار و مدیر آزمایشگاه هک اخلاقی «هانترزلب»، در یک رشته توییت به شکل کامل نشان داده است که چه‌طور هکرها با استفاده از بدافزار «SUNBURST backdoor» از محصول سولار ویندز دسترسی گرفته‌اند.

«وینوت کومار»، یکی از کارشناسان امنیت سایبری، نیز سندی را از سال ۲۰۱۹ میلادی در صفحه توییتر خود منتشر کرده است که نشان می‌​دهد او یک سال پیش، یک نشت اطلاعات را در پروتکل FTP سولار ویندز کشف کرده است که روی وب‌سایت گیت‌​هاب در دسترس عموم قرار داشت.

تصویری که وینوت کومار در صفحه توییتر خود منتشر کرده، بیان‌گر این است که او در سال ۲۰۱۹ توانسته است از طریق این ضعف امنیتی به سرور «SolarWinds FTP» دسترسی پیدا کند. این دسترسی به حدی بود که امکان ویرایش و بارگذاری در سرور را نیز فراهم می​‌کرد. کومار برای آزمایش، یک فایل را در سرور حساس و حیاتی « FTP - downloads.solarwinds.com» بارگذاری کرد که میزبان پرونده‌​های مهمی در مجموعه سرور است. به نظر می‌​رسد، شرکت فایرآی نیز دقیقا از همین نقطه ضعف هک شده باشد.

قرار دادن رمز عبور در مخزن گیت‌​هاب یکی از اشتباهات معمول برنامه‌​نویسان و توسعه‌دهندگان است که هر ساله هزاران بار روی داده است و در بسیاری از موارد نیز با احساس مسئولیت مخاطبان وب‌‌سایت گیت‌​هاب، به اطلاع صاحبان آن می‌رسد و تصحیح می‌​شود. کومار نیز بنا بر حس مسئولیت، این ضعف را به اطلاع تیم «SolarWinds PSIRT» منتقل کرده بود. توییت دیگری از کومار نشان می‌​دهد که تیم امنیتی سولار ویندز، سه روز بعد به ایمیل او پاسخ داده و گفته‌​اند که منبع نشت مورد اشاره او در گیت‌​هاب را تصحیح کرده‌​اند.

علاوه بر این ضعف امنیتی، مورد دیگر نحوه انتخاب رمز عبور در سرور سولار ویندز است. آقای کومار در توییت خود، رمز سرور اف‌تی‌پی کشف‌شده را « 123 ******» اعلام کرده است که با توجه به ادبیات به‌کاربرده در این توییت، به احتمال زیاد این رمز عبور «FTP Admin123» و یا «Admin123» است که در نوع خود یکی از ساده‌ترین رمزها است و با ابتدایی‌ترین نرم‌​افزارهای هک رمز در کمتر از چند ثانیه قابل کشف است. نشت اطلاعات در گیت‌​هاب و عدم رعایت اصول اولیه انتخاب رمز کافی است که حتی هکرهای غیرحرفه‌​ای نیز به مهم‌ترین زیرساخت‌​های شرکت‌​ها دسترسی پیدا کنند و کل مجموعه را به خطر بیاندازند.

اگرچه موضوع نشت اطلاعات در گیت‌​هاب و عدم رعایت سیاست‌​های امنیتی هنوز به شکل رسمی به عنوان عامل این هک گسترده اعلام نشده است، اما تایید آن بیان‌گر این حقیقت است که حمله وسیع سایبری به زیرساخت‌​های دولت ایالات متحده، و بسیاری دیگر از مصرف‌کنندگان محصول سولار ویندز در سراسر جهان، حمله​‌ای چندان پیچیده نبوده و تمام دسترسی‌‌​ها به احتمال فراوان از همین ضعف امنیتی حاصل شده‌اند.