موضوع مقاله: وی‌پی‌ان فیلتر | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # وی‌پی‌ان فیلتر | مقدمه: وی‌پی‌ان فیلتر یک بدافزار است که برای آلوده‌سازی روترها و برخی دستگاه‌های ذخیره‌سازی متصل به شبکه طراحی شده است. | ## بخش 1: وی‌پی‌ان فیلتر | تا تاریخ ۲۴ ماه مه ۲۰۱۸ چنین تخمین زده می‌شود که این بدافزار حدود ۵۰۰۰۰۰ تا ۱۰۰۰۰۰۰ دستگاه رهیاب را آلوده کرده باشد، هرچند تعداد دستگاه‌های در معرض خطر بسیار بیشتر است. این بدافزار قابلیت سرقت اطلاعات را برای مجریان حمله فراهم کرده، و همچنین با داشتن قابلیت کلید مرگ یا «kill switch» این امکان را به شخص حمله کننده می‌دهد که دستگاه رهیاب را از کار انداخته و غیرقابل استفاده نماید. به نظر می‌رسد بخشی از آن برای هدف قرار دادن دستگاه‌های شبکهٔ سریالی که از پروتکل Modbus برای ارتباط و کنترل تجهیزات صنعتی—مانند آنچه در کارخانه‌ها و انبارها استفاده می‌شود—طراحی شده است. گروه امنیتی Cisco Talos حدس می‌زند که این بدافزار از آسیب‌پذیری‌های شناخته‌شدهٔ امنیتی در روترها برای آلوده‌سازی دستگاه‌ها سوءاستفاده می‌کند. این بدافزار در چند مرحله روی دستگاه نصب می‌شود: مرحلهٔ اول شامل یک کرم (Worm) است که کدی را به crontab دستگاه (فهرست وظایفی که به‌صورت دوره‌ای توسط زمان‌بند cron در لینوکس اجرا می‌شود) اضافه می‌کند. این کار باعث می‌شود بدافزار پس از راه‌اندازی مجدد دستگاه نیز باقی بماند و اگر مراحل بعدی حذف شوند، مجدداً آن‌ها را نصب کند. مرحلهٔ دوم بخش اصلی بدافزار است و شامل کدهای پایه‌ای است که تمامی عملکردهای اصلی را انجام داده و دستوراتی را که توسط ماژول‌های اختیاری مرحلهٔ سوم صادر می‌شود، اجرا می‌کند. مرحلهٔ سوم مجموعه‌ای از «ماژول‌ها» است که دستور انجام کارهای خاص را به بدافزار می‌دهند؛ مانند شنود داده‌های شبکه، جمع‌آوری نام کاربری و گذرواژه‌ها، ایفای نقش به‌عنوان نقطهٔ میانجی برای پنهان کردن منشأ حملات بعدی، یا جمع‌آوری داده‌های مرتبط با تجهیزات کنترل صنعتی (Modbus SCADA). | ## بخش 2: وی‌پی‌ان فیلتر | این کار معمولاً با فشردن دکمهٔ کوچک ریست در پشت دستگاه، به‌مدت ۱۰ تا ۳۰ ثانیه (بسته به مدل) و با استفاده از یک جسم نوک‌تیز مانند گیرهٔ کاغذ انجام می‌شود. این فرایند بدافزار را حذف می‌کند، اما همهٔ تنظیمات را نیز به حالت اولیه بازمی‌گرداند. فعال بودن مدیریت از راه دور یکی از بردارهای احتمالی برای آلودگی اولیه محسوب می‌شود. پیش از اتصال دوبارهٔ روترِ بازنشانی‌شده به اینترنت، لازم است رمزهای عبور پیش‌فرض دستگاه تغییر داده شوند تا از آلودگی مجدد جلوگیری شود. توصیه‌ اف‌بی‌آی برای حذف آلودگی اف‌بی‌آی در تاریخ ۲۵ مهٔ ۲۰۱۸ به کاربران توصیه کرد که دستگاه‌های در معرض خطر را یک‌بار راه‌اندازی مجدد (Reboot) کنند. این کار مراحل دوم و سوم بدافزار را به‌طور موقت حذف می‌کند؛ اما مرحلهٔ اول همچنان باقی می‌ماند و روتر را وادار می‌کند دوباره تلاش کند تا بار مخرب را دانلود کرده و خود را مجدداً آلوده کند. با این حال، پیش از صدور این توصیه، وزارت دادگستری ایالات متحده نقاط پایانی وب مورداستفادهٔ بدافزار برای نصب مرحلهٔ دوم را توقیف کرده بود. با از کار افتادن این URLها، بدافزار ناچار است برای نصب مرحلهٔ دوم به مکانیزم پشتیبان (fallback) یعنی گوش‌دادن به سوکت روی دستگاه تکیه کند. | ## بخش 3: وی‌پی‌ان فیلتر | این روش مستلزم آن است که سیستم‌های فرماندهی و کنترل (C2) مهاجمان، تک‌تک دستگاه‌ها را به‌صورت مستقیم هدف قرار دهند؛ امری که ریسک شناسایی مهاجمان را افزایش می‌دهد. اف‌بی‌آی همچنین توصیه کرد که کاربران، مدیریت از راه دور را روی دستگاه‌های خود غیرفعال کرده و سفت‌افزار (Firmware) روتر را به‌روزرسانی کنند. به‌روزرسانی سفت‌افزار باعث حذف تمام مراحل بدافزار می‌شود، هرچند امکان آلودگی مجدد همچنان وجود دارد. اف‌بی‌آی اعلام کرد که اجرای این اقدامات به شناسایی سرورهایی که بار مخرب (Payload) را توزیع می‌کنند، کمک خواهد کرد. مرحله دوم کد اصلی حمله یا Payload اصلی را بارگذاری می‌کند که توانایی جمع‌آوری فایل از ترافیک، اجرای فرمان‌ها، استخراج داده، و کنترل دستگاه را برای حمله کننده فراهم می‌کند. این کار با دریافت یک دستور از C&C و اجرای آن روی دستگاه و سپس مجدد راه اندازی کردن آن به شکل خودکار انجام می‌شود. یکی دیگر از افزونه‌ها مرحله سوم قابلیت ارتباط با مرکز کنترل (C&C) از طریق شبکه Tor را فراهم می‌کند. | ## جمع‌بندی | پیشگیری راهکار اصلی پیشگیری این حمله بازگرداندن رهیاب به تنظیمات اصلی کارخانه و تنظیم دیواره آتش به منظور جلوگیری از نفوذ به دستگاه و همچنین حذف قابلیت کنترل از راه دور به منظور جلوگیری از نفوذ مجدد به روتر می‌باشد.