حمله سایبری به دو سازمان دولتی ایران و سیستم پشتیبانی از انتخابات آمریکا با استفاده از ZeroLogon !!!

در طی 24 ساعت گذشته اخبار مختلفی از یک حمله سایبری باج افزاری که احتمالا از گروه Dharma میباشد دو سازمان بزرگ دولتی را مورد هدف قرار داده است که به نظر میرسد این حملات از طریق آسیب پذیری های RDP یا ZeroLogon شکل گرفته باشد. همچنین پلیس فدرال و آژانس امنیت زیرساخت‌های آمریکا از هک شدن سیستم‌های انتخاباتی ایالات متحده از سوی عوامل ناشناس توسط همین آسیب پذیری خبر دادند. براي اطلاعات بيشتر بر روي ادامه خبر كليك نمائيد.

امروز 22 مهر 1399 گزارش و اخبار پراکنده حمله سایبری گروه باج افزاری Dharma به دو سازمان دولتی پخش شده است که طبق معمول گزارش کامل و آنالیز فنی این حمله به صورت کامل منتشر نشده است.

▪️ تصویر فوق در شبکه های اجتماعی در حال انتشار است که گفته میشود از ورودی گمرک بندرعباس گرفته شده است و ناشی از مشکلات پدید آمده از این حمله سایبری میباشد.

▪️با توجه به سابقه و تکنیک های این تیم باج افزاری ممکن است همان تکنیک قدیمی حمله از طریق RDP و هک اکانت Administrator در این حمله نیز استفاده شده باشد که پیشتر طرق مقابله با این گونه حملات و آنالیز کامل آنها در کانال تلگرام و یا خبر های دیگر سایت آموزش داده شده است. همچنین بسیار محتمل است که آسیب پذیری جدید ZeroLogon روی ویندوز های سرور DC که پیشتر در کانال تلگرام کامیران هشدار آن منتشر شده است مورد سوء استفاده این گروه هکری قرار گرفته باشد. البته این آسیب پذیری توسط مایکروسافت در آپدیت ماه آگوست پچ شده است و تنها راه مقابله با آن نصب آپدیت های مربوطه میباشد که لینک مستقیم آنها در پایین این صفحه قرار دارد.

پیشتر نیز حملات مشابهی بر پایه هک RDP از لابراتوآر کامیران منتشر شده که منصوب به همین گروه است :

https://www.kamiran.asia/77-RDP_Ransomware_Analyze.html

▪️ جهت اطلاع مدیران شبکه گرامی هیچ گونه گزارش حمله باج افزاری از مشترکین دولتی یا خصوصی کامیران در هر سه برند ESET ، Kaspersky و Bitdefender دریافت نشده است. فعلا جزئیات بیشتری از این حمله باج افزاری در دسترس نیست و تنها این اطلاعیه از مرکز ماهر منتشر شده است. به مجرد دریافت اطلاعات بیشتر از مراجع معتبر خدمت مدیران شبکه گرامی اطلاع رسانی خواهد شد.

آپدیت 25 مهر 1399 :

حملات ZeroLogon در لابراتوآر ویروس شناسی کامیران بر روی آنتی ویروس های ESET و Kaspersky و Bitdefender شبیه سازی شد و تنها آنتی ویروس های ESET توانستند این نوع حملات را در شبکه با ماژول IDS خود مسدود نمایند . اطلاعات بیشتر در خصوص این تست و ویدئوی اثباتی در لینک زیر در دسترس شما قرار داد :

95-Detection_Zerologon.html

videos/search.php?keywords=zerologon

فیلم نحوه سوء استفاده از آسیب پذیری ZeroLogon توسط مهاجم و تقدیم دسترسی Administrator به هکر روی DC :

https://www.kamiran.asia/videos/zerologon_684986412.html

اطلاعات کامل آسیب پذیری ZeroLogon از Secura :

🔗 https://www.secura.com/blog/zero-logon

▪️ این آسیب پذیری در حملات 24 ساعت گذشته به دو سازمان دولتی ایران مورد استفاده قرار گرفته است. هکر برای استفاده از این آسیب پذیری باید به یکی از سیستم های سازمان دسترسی داشته باشد. لذا تنها یک کلاینت آلوده میتواند منجر به حمله باج افزاری سنگینی شود.

برای رفع این آسیب پذیری این Patchها باید بر روی DC نصب شود. ( لینک مستقیم پچ ها نیز در پایان این مقاله درج شده است ) :

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2020-1472

▪️ مدیران شبکه گرامی دقت داشته باشند همانطور که در این ویدئو مشاهده کردید اگر DC شما آپدیت های این آسیب پذیری را نداشته باشد تنها یک سیستم بدون آنتی ویروس یا آلوده در شبکه می تواند کنترل کامل DC شما را به هکر تقدیم نماید. لذا الزامیست سریعا آپدیت های مربوطه را روی DC های خود نصب نموده و سرور های خود را همیشه با آخرین آپدیت ها بروز نگاه دارید و از نصب بودن و آپدیت بودن آنتی ویروس های کلیه سیستم های شبکه اطمینان حاصل نمائید.

اسکریپ تست این آسیب پذیری هم در لینک زیر برای علاقه مندان موجود میباشد :

https://github.com/SecuraBV/CVE-2020-1472

آپدیت 23 مهر 1399 :

▪️ معاون امنیت سازمان فناوری اطلاعات هم در مصاحبه با شبکه خبر علت این حمله باج افزاری را آسیب پذیری شناسه CVE-2020-1472 در Netlogon مایکروسافت اعلام کرد که مربوط به سرور های DC میباشد.

آپدیت 24 مهر 1399 :

هک شدن سیستم های انتخاباتی آمریکا با استفاده از ZeroLogon :

پلیس فدرال و آژانس امنیت زیرساخت‌های آمریکا از هک شدن سیستم‌های انتخاباتی ایالات متحده از سوی عوامل ناشناس خبر دادند. آژانس امنیت زیرساخت‌های آمریکا که زیرمجموعه وزارت امنیت داخلی این کشور است اعلام کرد در حالیکه شبکه‌های دولتی آمریکا از جمله سیستم پشتیبانی از انتخابات به دست هکرها افتاده، تاکنون هیچ مدرکی مبنی بر به خطر افتادن داده‌های انتخابات وجود ندارد.

▪️ در این نوع حملات هکر ابتدا باید به شبکه قربانی دسترسی اولیه پیدا کند. این احتمال وجود دارد که یکی از آسیب پذیری های موجود در VPN ها یا Firewall ها دسترسی اولیه برای استفاده از ZeroLogon را به هکر خواهند داد. نمونه آسیب پذیری های زیر دسترسی اولیه برای هکر را فراهم خواهند کرد :

Fortinet CVE-2018-13379
Juniper CVE-2020-1631
Pulse Secure CVE-2019-11510
Citrix NetScaler CVE-2019-19781
Palo Alto Networks CVE-2020-2021

▪️ همچنین وجود یک سیستم آلوده و فاقد آنتی ویروس نیز میتواند نقش کانال ارتباطی هکر در شبکه را ایفا کند و کل عملیات حمله به DC یا سایر سرورها از همان یک سیستم حتی با دسترسی User محدود انجام شود.

‼️ لذا برای جلوگیری از این حملات ابتدا پچ های امنیتی معرفی شده در سایت مایکروسافت یا کامیران را روی DC های خود نصب نمائید و جهت اعمال پچ ها یک بار سرور را ریست نمائید. از آپدیت بودن و پچ بودن کلیه تجهیزات شرکت و سازمان خود علی الخصوص آسیب پذیری های اشاره شده در فایروال ها و VPN سرورهای خود اطمینان حاصل نمائید. سپس مطمئن شوید کلیه سیستم های شبکه شما دارای آنتی ویروس فعال و آپدیت شده است. در آنتی ویروس های سازمانی ESET میتوانید با استفاده از سنسور Rogue کلیه سیستم های فاقد آنتی ویروس در شبکه خود را به سرعت شناسائی نمائید. در Kaspersky هم میتوانید از Device discovery استفاده نمائید.

اطلاعات بیشتر از آژانس امنیت زیرساخت‌های آمریکا :
🔗 https://us-cert.cisa.gov/ncas/alerts/aa20-283a

آپدیت 3 آبان 1399 :

مرکز افتا ریاست جمهوری جزئیات بیشتری از این حمله باج افزاری را در سایت خود منتشر کرد که نکات مهم آن در لینک زیر تشریح شده است. در این مقاله شرح دادیم که کدام مشترکین از گزند این نوع حملات ایمن هستند :

https://www.kamiran.asia/96-Afta_ReportZeroLogon.html

لینک های مستقیم پچ CVE-2020-1472 برای ویندوز های سرور :

پیش نیاز های نصب این آپدیت روی ویندوز سرور 2008R2 اگر لایسنس اورجینال ESU دارید:

https://support.microsoft.com/en-us/help/4571719/windows-7-update

Windows Server 2008 R2 Sp1

* تذکر بسیار مهم در خصوص ویندوز های 2008R2 : با توجه به منسوخ شدن ویندوز 2008R2 برای نصب آپدیت های جدید باید لایسنس ویندوز شما قابلیت Extended security update -ESU را داشته باشد (یعنی نصب آپدیت های جدید 2020 روی این ویندوز رایگان نخواهد بود). بدون این نوع لایسنس شما باید از ابزارهای BypassESU برای دور زدن سیستم لایسنس مایکروسافت استفاده نمائید تا بتوانید آپدیت Zerologon را روی 2008R2 نصب نمائید. نصب اشتباه این آپدیت ها ممکن است باعث بالا نیامدن ویندوز 2008R2 شما شود. لذا ابتدا آنها را در محیط تست آزمایش کرده و بعد روی DC اصلی خود اعمال نمائید. روش های BypassESU در اینترنت و به خصوص سایت mydigitallife بر اساس این ابزار موجود است که در محیط تست به درستی عمل کرده است اما قطعا صحت و امنیت آن تایید نمیشود اما به نظر فعلا تنها راه پچ رایگان میباشد. لذا اگر DC شما ویندوز 2008R2 میباشد در نصب این آپدیت ها بسیار محتاط باشید و قبل از شروع نصب حتما از سرور خود اسنپ شات و بکاپ تهیه نمائید. توجه نمائید که در صورت عدم استفاده از ByPassESU یا داشتن لایسنس ESU ، آپدیت 4571719 پس از Restart برگردانده (Revert) شده و از سرور حذف میشود و در لیست آپدیت های نصب شده قرار نخواهد گرفت.

http://download.windowsupdate.com/c/msdownload/update/software/secu/2020/08/windows6.1-kb4571719-x64_5288d4c665b6d47f6fa9ff221b4b75a81a907ff1.msu

Windows Server 2012
http://download.windowsupdate.com/d/msdownload/update/software/secu/2020/08/windows8-rt-kb4571702-x64_31d0c26c78ed003e20c197b9f35869069f5f4b56.msu

Windows Server 2012 R2
http://download.windowsupdate.com/c/msdownload/update/software/secu/2020/08/windows8.1-kb4571723-x64_5f366bc88992b43b074421fd9b817c543c93e456.msu

Windows Server 2016
http://download.windowsupdate.com/d/msdownload/update/software/secu/2020/08/windows10.0-kb4571694-x64_220af1e3a18ef36cb4abe3d34a3ce15ce656753b.msu

Windows Server 2019
http://download.windowsupdate.com/d/msdownload/update/software/secu/2020/08/windows10.0-kb4565349-x64_919b9f31d4ccfa91183fbb9bab8c2975529e66b6.msu

‼️ طرق همیشگی تماس با پشتیبانی:
تلگرام: @KamiranSupport ، واتساپ 09332050007 ، مرکز تماس 02147251  ، سامانه www.47251.ir

برای دریافت سریع اخبار امنیتی در مورد ویروس ها و حملات جدید در کانال تلگرام مدیران شبکه شرکت کامیران عضو شوید :

کانال مدیران فناوری اطلاعات شرکت کامیران:
KAMIRANChannel@

مرتبط با موضوع :

 آسیب پذیری بحرانی در ConnectWise ScreenConnect

 آسیب پذیری خطرناک در فایروالهای Fortigate

 هک فایروال Sophos در ده ثانیه

 اطلاعیه افتا برای حمله سایبری مهر99

 ESET حملات Zerologon را مسدود میکند

 آنالیز حمله باج افزاری WastedLocker

 حمله باج افزاری Makop

 آنالیز یک حمله باج افزاری Phobos

 آنالیز یک حمله باج افزاری RDP

 سومین ابزار رمزگشایی GandCrab