مقدمه: تهدید پنهان در زیرساخت‌های مجازی

دنیای دیجیتال، با تمام مزایای بی‌شمارش، همواره با چالش‌های امنیتی پیچیده‌ای روبرو است. یکی از این چالش‌ها، سوءاستفاده از آسیب‌پذیری‌های نرم‌افزاری قدیمی است که می‌تواند به حملات گسترده سایبری منجر شود. اخیراً، هکرها با بهره‌برداری از یک نقص امنیتی دو ساله در محصولات VMware، یک کمپین بزرگ باج‌افزاری راه‌اندازی کرده‌اند. این موضوع بار دیگر اهمیت امنیت سایبری و به‌روزرسانی مداوم سیستم‌ها را به ما یادآور می‌شود.

شرکت‌ها و سازمان‌هایی که از زیرساخت‌های مجازی‌سازی VMware استفاده می‌کنند، به طور خاص در معرض خطر این نوع حملات قرار دارند. این آسیب‌پذیری که به عنوان CVE-2021-22005 شناخته می‌شود، به مهاجمان اجازه می‌دهد تا بدون نیاز به احراز هویت، کدهای مخرب را بر روی سرورهای vCenter اجرا کنند. در نتیجه، این امر راه را برای نفوذ عمیق‌تر به شبکه و استقرار باج‌افزار هموار می‌کند. بنابراین، درک این تهدید و اقدامات لازم برای مقابله با آن، برای هر سازمانی حیاتی است.

جزئیات آسیب‌پذیری CVE-2021-22005: دروازه‌ای به شبکه شما

آسیب‌پذیری CVE-2021-22005 یک نقص بحرانی در سرویس Analytics سرور VMware vCenter است. این نقص به مهاجمان اجازه می‌دهد تا با دسترسی شبکه به پورت 443، فایل‌های دلخواه را بارگذاری کرده و از طریق آن کدهای مخرب را بر روی سرور vCenter اجرا کنند. امتیاز CVSSv3 این آسیب‌پذیری 9.8 از 10 است که نشان‌دهنده شدت بسیار بالای آن است.

یکی از جنبه‌های نگران‌کننده این آسیب‌پذیری این است که بدون توجه به تنظیمات پیکربندی سرور vCenter، قابل بهره‌برداری است. به عبارت دیگر، حتی اگر سازمان‌ها فکر کنند که اقدامات امنیتی کافی را انجام داده‌اند، این نقص می‌تواند به عنوان یک حفره بزرگ عمل کند. این آسیب‌پذیری به مهاجمان امکان می‌دهد تا کنترل کامل سرور vCenter را به دست آورند، که معمولاً قلب زیرساخت مجازی یک سازمان محسوب می‌شود. از این رو، هرگونه ضعف در امنیت VMware می‌تواند منجر به فاجعه شود.

در واقع، این نقص یک “آسیب‌پذیری آپلود فایل دلخواه” است. مهاجمان می‌توانند فایل‌های خاصی را آپلود کنند که سپس توسط سیستم اجرا می‌شوند. این مکانیزم به آن‌ها اجازه می‌دهد تا از راه دور دستورات را اجرا کرده و بدافزارهایی مانند باج‌افزار را در سیستم قربانی مستقر کنند. این اتفاق می‌تواند منجر به رمزگذاری داده‌ها و درخواست باج شود.

کمپین‌های باج‌افزاری: چگونه این نقص مورد سوءاستفاده قرار گرفت؟

پس از افشای این آسیب‌پذیری توسط VMware در سپتامبر 2021، انتظار می‌رفت که به سرعت مورد سوءاستفاده قرار گیرد. متأسفانه، این پیش‌بینی به حقیقت پیوست و گروه‌های باج‌افزاری به سرعت شروع به اسکن اینترنت برای یافتن سرورهای vCenter آسیب‌پذیر کردند. آن‌ها از این نقص به عنوان یک نقطه ورود اولیه برای نفوذ به شبکه‌های سازمانی استفاده کردند. این حملات نشان‌دهنده چابکی و تطبیق‌پذیری بالای مهاجمان در بهره‌برداری از فرصت‌های جدید است.

حملات باج‌افزاری با استفاده از این نقص، معمولاً با مراحل زیر همراه بوده‌اند: ابتدا، مهاجمان از طریق CVE-2021-22005 به سرور vCenter دسترسی پیدا می‌کنند. سپس، با استفاده از این دسترسی اولیه، اقدام به حرکت جانبی در شبکه می‌کنند تا به سیستم‌های حیاتی‌تر دست یابند. در نهایت، پس از شناسایی و دسترسی به داده‌های حساس، بدافزار باج‌افزار را مستقر کرده و تمامی فایل‌ها را رمزگذاری می‌کنند. این روند، پیامدهای مخربی برای عملیات و داده‌های سازمان‌ها دارد.

به گفته کارشناسان امنیت، این آسیب‌پذیری به دلیل سادگی بهره‌برداری، به سرعت به ابزاری محبوب برای مهاجمان تبدیل شد. CISA (آژانس امنیت سایبری و زیرساخت ایالات متحده) نیز هشدار داد که بهره‌برداری گسترده از این آسیب‌پذیری انتظار می‌رود. این امر تأکیدی بر این واقعیت است که هیچ سازمانی، فارغ از اندازه یا صنعت، در برابر تهدیدات باج‌افزاری مصون نیست.

سیستم‌های در معرض خطر و نحوه شناسایی

آسیب‌پذیری CVE-2021-22005 نسخه‌های خاصی از VMware vCenter Server و VMware Cloud Foundation را تحت تأثیر قرار می‌دهد. به طور خاص، نسخه‌های 6.7 و 7.0 vCenter Server و همچنین نسخه‌های 3.x و 4.x از Cloud Foundation آسیب‌پذیر هستند. مهم است که سازمان‌ها دقیقاً بدانند کدام یک از سیستم‌هایشان در معرض خطر قرار دارد.

برای شناسایی سیستم‌های آسیب‌پذیر، VMware و شرکت‌های امنیتی ابزارهای مختلفی ارائه داده‌اند. سازمان‌ها باید به سرعت موجودی دارایی‌های IT خود را بررسی کنند تا هرگونه سرور vCenter آسیب‌پذیر را که به اینترنت دسترسی دارد، شناسایی کنند. حتی اگر سرور مستقیماً به اینترنت متصل نباشد، مهاجمانی که از طریق روش‌های دیگر وارد شبکه شده‌اند (مانند فیشینگ)، می‌توانند از این نقص برای حرکت جانبی و نفوذ عمیق‌تر استفاده کنند.

به عنوان یک قاعده کلی در امنیت، هر سیستمی که به اینترنت متصل است، باید به طور مداوم برای آسیب‌پذیری‌ها اسکن شود. در مورد این نقص VMware، اسکن‌های عمومی گسترده‌ای برای یافتن سرورهای آسیب‌پذیر انجام شده است. بنابراین، فرض بر این است که مهاجمان از وجود این آسیب‌پذیری در شبکه شما آگاه هستند، حتی اگر خودتان نباشید.

اقدامات فوری: وصله کردن و فراتر از آن

مهم‌ترین و فوری‌ترین اقدام برای مقابله با این آسیب‌پذیری، اعمال وصله‌های امنیتی است که توسط VMware منتشر شده‌اند. VMware به صراحت اعلام کرده است که این یک “تغییر اضطراری” است و سازمان‌ها باید فوراً اقدام کنند. وصله‌ها برای vCenter Server 7.0 (نسخه 7.0 U2c و بالاتر) و 6.7 (نسخه 6.7 U3o و بالاتر) در دسترس هستند. اطلاعات دقیق‌تر را می‌توانید در مشاوره امنیتی رسمی VMware (VMSA-2021-0020) بیابید.

اگر به هر دلیلی امکان وصله کردن فوری وجود ندارد، VMware راه‌حل‌های موقتی (workaround) نیز ارائه کرده است. با این حال، تأکید می‌شود که این راه‌حل‌ها تنها یک اقدام موقتی هستند و نباید جایگزین وصله دائمی شوند. همچنین، اعمال این راه‌حل‌ها نیازمند دقت بالا است تا از بروز مشکلات بیشتر جلوگیری شود.

فراتر از وصله کردن، سازمان‌ها باید فرض را بر این بگذارند که ممکن است قبلاً مورد نفوذ قرار گرفته باشند. این به معنای بررسی دقیق لاگ‌ها برای شناسایی فعالیت‌های مشکوک، مانند نام‌های کاربری غیرعادی یا اتصالات IP ناشناس است. تمرکز بر امنیت در این مرحله بسیار حیاتی است، چرا که مهاجمان باج‌افزار اغلب پس از نفوذ اولیه، مدتی را به شناسایی و برنامه‌ریزی برای حمله نهایی اختصاص می‌دهند.

امنیت جامع: رویکردی فراتر از وصله‌ها

در حالی که وصله کردن آسیب‌پذیری‌های شناخته شده گامی اساسی در امنیت سایبری است، اما کافی نیست. سازمان‌ها باید یک رویکرد جامع و چندلایه به امنیت اتخاذ کنند. این رویکرد شامل موارد زیر می‌شود:

• مدیریت دارایی‌ها و آسیب‌پذیری‌ها: داشتن یک موجودی دقیق از تمامی دارایی‌های IT و اسکن مداوم آن‌ها برای شناسایی آسیب‌پذیری‌ها، سنگ بنای دفاع سایبری است. نمی‌توانید از چیزی که نمی‌شناسید محافظت کنید.
• تقسیم‌بندی شبکه: تقسیم‌بندی شبکه به بخش‌های کوچک‌تر و مجزا می‌تواند از حرکت جانبی مهاجمان در صورت نفوذ اولیه جلوگیری کند.
• پشتیبان‌گیری منظم و تست شده: داشتن پشتیبان‌های آفلاین و تست شده از داده‌های حیاتی، بهترین دفاع در برابر حملات باج‌افزاری است. این امر به سازمان‌ها امکان می‌دهد تا پس از حمله، بدون پرداخت باج، داده‌های خود را بازیابی کنند.
• آموزش آگاهی امنیتی: کارکنان اغلب ضعیف‌ترین حلقه در زنجیره امنیت هستند. آموزش منظم در مورد تهدیداتی مانند فیشینگ و مهندسی اجتماعی می‌تواند به کاهش ریسک کمک کند.
• نظارت و پاسخ به حوادث: استقرار سیستم‌های نظارت بر امنیت (مانند SIEM) و داشتن یک برنامه واکنش به حوادث سایبری، برای شناسایی سریع و مهار حملات ضروری است.

همانطور که گرگ فیتزجرالد، یکی از بنیانگذاران شرکت امنیت سایبری Sevco Security، اشاره می‌کند: “شرکت‌ها به این دلیل مورد نفوذ قرار نمی‌گیرند که ابزارهای مدیریت وصله آن‌ها به اندازه کافی خوب نیستند. آن‌ها مورد نفوذ قرار می‌گیرند زیرا نمی‌توانند دارایی‌ای را که از وجود آن بی‌خبرند، وصله کنند.” این نقل قول به خوبی اهمیت مدیریت دارایی و امنیت زیرساخت را نشان می‌دهد.

نکات کلیدی برای محافظت

برای محافظت از سازمان خود در برابر حملات باج‌افزاری که از آسیب‌پذیری‌های VMware سوءاستفاده می‌کنند، این نکات کلیدی را به خاطر بسپارید:

• وصله کنید، وصله کنید، وصله کنید: اولویت اصلی شما باید اعمال فوری وصله‌های امنیتی برای CVE-2021-22005 و سایر آسیب‌پذیری‌های بحرانی باشد.
• فرض کنید مورد نفوذ قرار گرفته‌اید: پس از وصله کردن، لاگ‌ها را با دقت بررسی کنید و به دنبال نشانه‌های نفوذ بگردید.
• زیرساخت مجازی خود را تقویت کنید: اطمینان حاصل کنید که تمامی جنبه‌های امنیت VMware شما به‌روز و پیکربندی شده‌اند.
• پشتیبان‌گیری قوی: از یک استراتژی پشتیبان‌گیری 3-2-1 پیروی کنید (سه کپی از داده‌ها، در دو نوع رسانه، یک کپی خارج از سایت).
• آمادگی در برابر باج‌افزار: یک برنامه جامع واکنش به باج‌افزار داشته باشید و آن را به طور منظم تمرین کنید.

سوالات متداول (FAQ)

چرا هکرها از نقص قدیمی VMware برای حملات باج‌افزاری استفاده می‌کنند؟

هکرها از این نقص استفاده می‌کنند زیرا بهره‌برداری از آن نسبتاً آسان است و به آن‌ها امکان می‌دهد تا بدون احراز هویت به سیستم‌های حیاتی دسترسی پیدا کنند. بسیاری از سازمان‌ها ممکن است به دلیل عدم آگاهی یا اولویت‌بندی، وصله‌های این نقص را اعمال نکرده باشند، که این امر آن‌ها را به اهداف آسانی برای حملات باج‌افزاری تبدیل می‌کند.