«اکتبر سیاه»؛ چرا بخش بزرگی از اینترنت تعطیل شد؟

اینترنت با موجی از تعطیلی‌های احتیاطی و حملات سایبری روبه‌رو شده است. دولت‌ها، بانک‌ها، بیمارستان‌ها و پلتفرم‌های بزرگ در نقاط مختلف جهان شماری از وب‌سایت‌های خود را از دسترس خارج کرده‌اند؛ اقدامی که در داده‌های ارائه‌شده واکنشی به دو آسیب‌پذیری بحرانی در PHP معرفی می‌شود. بعضی ناظران هم‌زمانی رخدادها را با عنوان اکتبر سیاه توصیف کرده‌اند.

نام و نشانی رسانه‌ی منتشرکننده در اطلاعات منبع درج نشده و در نتیجه، ادعاهای مطرح‌شده را نمی‌توان به گزارش مشخصی پیوند داد. داده‌های موجود با این حال تصویری از یک وضعیت اضطراری ترسیم می‌کنند که دامنه‌ی واقعی آن شاید تا ماه‌ها روشن نشود.

PHP در پشت صحنه‌ی حدود هفت وب‌سایت از هر ۱۰ وب فعالیت می‌کند. دو نقص منتسب‌به آن که با نام PHP2Shell شناخته می‌شوند، بنا بر محتوای ارائه‌شده می‌توانند به مهاجم اجازه دهند بدون داشتن رمز عبور وارد سامانه شود. امتیاز شدت هر دو آسیب‌پذیری ۹٫۲ از ۱۰ اعلام شده؛ سطحی که احتمال بهره‌برداری گسترده و پیامدهای جدی را مطرح می‌کند.

جزئیات فنی از ۲۰ اکتبر (۲۸ مهر) در فضای آنلاین به گردش درآمد و اصلاحیه‌های اضطراری یک روز بعد منتشر شدند. فاصله‌ی کوتاه میان افشا و عرضه‌ی وصله کافی نبود تا همه‌ی مدیران سرورها واکنش نشان دهند. مهاجمان پیش از تکمیل فرایند به‌روزرسانی، اسکن و بهره‌برداری از سامانه‌های در معرض اینترنت را آغاز کرده بودند.

مدیرعامل کلادفلر گفته است شمار تلاش‌های نفوذ ظرف چند ساعت از چند هزار مورد به میلیون‌ها مورد رسید. کلادفلر همچنین از تغییر مداوم روش‌های حمله خبر داده؛ مهاجمان ظاهرا بارهای مخرب و الگوهای درخواست را دست‌کاری می‌کنند تا از سد سازوکارهای حفاظتی عبور کنند.

نهادهای امنیت سایبری چند کشور توصیه‌ی مشترکی به گردانندگان وب‌سایت‌های مبتنی بر PHP ارائه کرده‌اند. نسخه‌ی آسیب‌پذیر باید فورا اصلاح شود و اگر نصب وصله ممکن نیست، سامانه تا زمان ایمن‌سازی از دسترس خارج بماند. همین رویکرد به خاموش‌شدن پورتال‌های دولتی، وب‌سایت‌های بیمارستانی و سامانه‌های بانکی در نقاط مختلف جهان انجامیده است.

حدود ۲٫۶ میلیون سرور متصل به اینترنت PHP را اجرا می‌کنند و هر سرور ممکن است میزبان صدها وب‌سایت باشد. بنابراین شمار دامنه‌های بالقوه در معرض خطر می‌تواند بسیار بیشتر از تعداد سرورها باشد.

نصب وصله تنها مسیر ورود تازه را می‌بندد و الزاما آثار نفوذ قبلی را پاک نمی‌کند. مهاجمی که پیش‌تر به سرور راه یافته باشد، ممکن است حساب مدیریتی، پوسته‌ی وب، وظیفه‌ی زمان‌بندی‌شده یا در پشتی دیگری بر جای گذاشته باشد. پاک‌سازی کامل به بررسی گزارش‌های سیستمی، فایل‌های تغییریافته، حساب‌های کاربری و کلیدهای دسترسی نیاز دارد.

CrowdStrike هشدار داده است که حملات مورد بحث ردپای بسیار کمی باقی می‌گذارند. در نتیجه، بعضی سازمان‌ها شاید هنوز ندانند که سامانه‌هایشان هدف قرار گرفته یا کنترل آن‌ها در اختیار مهاجم قرار گرفته است.

هم‌زمان با هشدار مربوط به PHP2Shell، چند رخداد امنیتی مستقل نیز گزارش شده‌اند. هیچ ارتباط تاییدشده‌ای میان موارد زیر و دو نقص PHP وجود ندارد.

• Onamae در ژاپن پس از کشف بدافزار روی سرورهای مشتریان، تمام طرح‌های Desktop Cloud را تعلیق کرد.
• eMudhra در هند هشت کلید مربوط به گواهی وب‌سایت داشت که به‌شدت ضعیف توصیف شده‌اند. مقدار یکی از کلیدها تنها عدد «۴» بود.
• State Bank of India حضور اطلاعات ۳٬۸۹۷ مشتری در دارک‌وب را تأیید کرد.
• مجرمان با استفاده از عامل‌های هوش مصنوعی به بیش از ۴۰۰ بانک در آمریکای لاتین نفوذ کردند.
• Capcom رخنه‌ای را تأیید کرد که ۱۱٫۷ میلیون نشانی ایمیل را افشا کرده است.
• GitLab آسیب‌پذیری‌ای با بالاترین امتیاز شدت، یعنی ۱۰ از ۱۰، افشا کرد که نسخه‌های منتشرشده از سال ۲۰۱۴ به بعد را در بر می‌گیرد.
• LiteLLM نسخه‌ای آلوده به بدافزار را حذف کرد. Railway نیز از احتمال افشای اسرار و داده‌های محرمانه‌ی مشتریان خبر داد.

کنار هم قرارگرفتن چنین رخدادهایی ممکن است تصور یک عملیات واحد و هماهنگ را ایجاد کند، اما داده‌های موجود چنین پیوندی را اثبات نمی‌کنند. روایت دقیق‌تر از چند بحران مستقل حکایت دارد که در بازه‌ای کوتاه آشکار شده‌اند و فشار هم‌زمانی بر تیم‌های امنیتی را افزایش داده‌اند.

تشخیص دامنه‌ی خسارت به چند عامل بستگی دارد. سرورهای قدیمی ممکن است ثبت رویداد کامل نداشته باشند، مهاجمان قادرند آثار فعالیت خود را پاک کنند و بسیاری از سازمان‌ها نیز رخنه را تا زمان مشاهده‌ی فروش داده‌ها، اخاذی یا اختلال عملیاتی کشف نمی‌کنند.

هشدار جهانی هنوز پایان نیافته و تلاش‌های نفوذ ادامه دارند. خاموش‌کردن موقت یک وب‌سایت می‌تواند بهره‌برداری تازه را متوقف کند، اما پاسخ کامل زمانی شکل می‌گیرد که هم آسیب‌پذیری برطرف شود و هم احتمال حضور قبلی مهاجم با بررسی مستقل رد یا تأیید شود.

دیدگاه خود را درباره‌ی آمادگی وب‌سایت‌ها برای مقابله با چنین موج‌های امنیتی بنویسید.