آذری جهرمی در جدیدترین توئیت خود نوشت: حملات فراتر از ایران است. منشا حملات در دست بررسی است.
مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای درخصوص حمله صورت گرفته به سرویس های مراکز داده داخلی (دیتاسنتر) و بروز اختلال سراسری در سرویس اینترنت، اطلاعیه ای صادر کرد.
مرکز مدیریت امداد و هماهنگی عملیات رخدادهای رایانه ای (مرکز ماهر) با تشریح جزئیاتاین حمله سایبری اعلام کرد: در پی بروز اختلالات سراسری در سرویس اینترنت و سرویس های مراکز داده داخلیدر ساعت حدود ۲۰:۱۵ روز ۱۷ فروردین ماه جاری، بررسی و رسیدگی فنی به موضوع انجام پذیرفت.
طی بررسی اولیه مشخص شد این حملات شامل تجهیزات روتر و سوئیچ متعدد شرکت سیسکو بوده که تنظیمات این تجهیزات مورد حمله قرار گرفته و کلیه پیکربندی های این تجهیزات (شامل running-config و startup-config) حذف شده است.در موارد بررسی شده پیغامی با این مذمون در قالب startup-config مشاهده شد.
دلیل اصلی مشکل، وجود حفره امنیتی در ویژگی smart install client تجهیزات سیسکو استو هر سیستم عاملی که این ویژگی روی آن فعال باشد در معرض آسیب پذیری مذکور قرار داشتهو مهاجمان می توانند با استفاده از اکسپلویت منتشر شده نسبت به اجرای کد از راه دور روی روتر/سوئیچ اقدام کنند.
در این راستا لازم است مدیران سیستم با استفاده از دستور «no vstack» نسبت به غیرفعال سازیقابلیت فوق (که عموما مورد استفاده نیز قرار ندارد) روی سوئیچ ها و روترهای خود اقدام کنند؛همچنین بستن پورت ۴۷۸۶ در لبه شبکه نیز توصیه می شود. در صورت نیاز به استفادهاز ویژگی smart install، نیز لازم است بروزرسانی به آخرین نسخه های پیشنهادی شرکت سیسکو صورت پذیرد.
حمله سایبری به ایران و بروز اختلال در اینترنت
در این راستا به محض شناسایی عامل این رخداد، دسترسی به پورت مورد استفاده توسط اکسپلویت این آسیب پذیری در لبه شبکه زیرساخت کشور و همچنین کلیه سرویس دهنده های عمده اینترنت کشور مسدود شد.
تا این لحظه، سرویس دهی شرکت ها و مراکز داده بزرگ از جمله افرانت، آسیاتک، شاتل، پارس آنلاین و رسپینابصورت کامل به حالت عادی بازگشته است و اقدامات لازم جهت پیشگیری از تکرار رخداد مشابه انجام شده است.
لازم به توضیح است متاسفانه ارتباط دیتاسنتر میزبان وب سایت مرکز ماهر نیز دچار مشکل شده بود که در ساعت ۴ بامداد مشکل رفع شد.
همچنین پیش بینی می شود که با آغاز ساعت کاری سازمان ها، ادارات و شرکت ها،شمار قابل توجهی از این مراکز متوجه وقوع اختلال در سرویس شبکه داخلی خود شوند.
لذا مدیران سیستم های آسیب دیده لازم است اقدامات زیر را انجام دهند:
– با استفاده از کپی پشتیبان قبلی، اقدام به راه اندازی مجدد تجهیز خود کنند یا در صورت عدم وجود کپی پشتیبان، راه اندازی و تنظیم تجهیز مجددا انجام پذیرد.
– قابلیت آسیب پذیر smart install client را با اجرای دستور «no vstack» غیر فعال شود.
– لازم است این تنظیم روی همه تجهیزات روتر و سوئیچ سیسکو (حتی تجهیزاتی که آسیب ندیده اند) انجام شود.رمز عبور قبلی تجهیز تغییر داده شود.
– توصیه می شود در روتر لبه شبکه با استفاده از ACL ترافیک ورودی ۴۷۸۶ TCP نیز مسدود شود.
مرکز ماهر تاکید کرد: متعاقبا گزارشات تکمیلی در رابطه با این آسیب پذیری و ابعاد تاثیرگذاریآن در کشور و سایر نقاط جهان توسط این مرکز منتشر خواهد شد.
