وی‌پی‌ان فیلتر

**وی‌پی‌ان فیلتر** یک بدافزار است که برای آلوده‌سازی روترها و برخی دستگاه‌های ذخیره‌سازی متصل به شبکه طراحی شده است. تا تاریخ ۲۴ ماه مه ۲۰۱۸ چنین تخمین زده می‌شود که این بدافزار حدود ۵۰۰۰۰۰ تا ۱۰۰۰۰۰۰ دستگاه رهیاب را آلوده کرده باشد، هرچند تعداد دستگاه‌های در معرض خطر بسیار بیشتر است. این بدافزار قابلیت سرقت اطلاعات را برای مجریان حمله فراهم کرده، و همچنین با داشتن قابلیت کلید مرگ یا «kill switch» این امکان را به شخص حمله کننده می‌دهد که دستگاه رهیاب را از کار انداخته و غیرقابل استفاده نماید.

پلیس فدرال آمریکا این احتمال را می‌دهد که این بدافزار توسط گروه روسی حملات سایبری Fancy Bear (Pawn Storm) ایجاد و گسترش داده شده باشد. در فوریهٔ ۲۰۲۲، آژانس امنیت زیرساخت و امنیت سایبری ایالات متحده (CISA) اعلام کرد که بدافزار جدیدی با نام Cyclops Blink که توسط گروه Sandworm تولید شده، جایگزین VPNFilter شده است.

## عملکرد
VPNFilter نوعی بدافزار است که طیف گسترده‌ای از روترهای شبکه و دستگاه‌های ذخیره‌سازی را آلوده می‌کند. به نظر می‌رسد بخشی از آن برای هدف قرار دادن دستگاه‌های شبکهٔ سریالی که از پروتکل Modbus برای ارتباط و کنترل تجهیزات صنعتی—مانند آنچه در کارخانه‌ها و انبارها استفاده می‌شود—طراحی شده است. این بدافزار دارای کدهای ویژه و اختصاصی برای حمله به سامانه‌های کنترل صنعتی مبتنی بر SCADA است.

برد اولیهٔ آلودگی هنوز مشخص نیست. گروه امنیتی Cisco Talos حدس می‌زند که این بدافزار از آسیب‌پذیری‌های شناخته‌شدهٔ امنیتی در روترها برای آلوده‌سازی دستگاه‌ها سوءاستفاده می‌کند.

این بدافزار در چند مرحله روی دستگاه نصب می‌شود:

# **مرحلهٔ اول** شامل یک کرم (Worm) است که کدی را به *crontab* دستگاه (فهرست وظایفی که به‌صورت دوره‌ای توسط زمان‌بند *cron* در لینوکس اجرا می‌شود) اضافه می‌کند. این کار باعث می‌شود بدافزار پس از راه‌اندازی مجدد دستگاه نیز باقی بماند و اگر مراحل بعدی حذف شوند، مجدداً آن‌ها را نصب کند. مرحلهٔ اول برای یافتن و نصب بدافزار مرحلهٔ دوم از URLهای مشخصی استفاده می‌کند. اگر این URLها غیرفعال شوند، مرحلهٔ اول یک *Socket Listener* روی دستگاه ایجاد کرده و منتظر می‌ماند تا از سوی سامانه‌های فرماندهی و کنترل (C2) تماس برقرار شود.
# **مرحلهٔ دوم** بخش اصلی بدافزار است و شامل کدهای پایه‌ای است که تمامی عملکردهای اصلی را انجام داده و دستوراتی را که توسط ماژول‌های اختیاری مرحلهٔ سوم صادر می‌شود، اجرا می‌کند.
# **مرحلهٔ سوم** مجموعه‌ای از «ماژول‌ها» است که دستور انجام کارهای خاص را به بدافزار می‌دهند؛ مانند شنود داده‌های شبکه، جمع‌آوری نام کاربری و گذرواژه‌ها، ایفای نقش به‌عنوان نقطهٔ میانجی برای پنهان کردن منشأ حملات بعدی، یا جمع‌آوری داده‌های مرتبط با تجهیزات کنترل صنعتی (Modbus SCADA). هرگونه دادهٔ استخراج‌شده می‌تواند از طریق شبکهٔ تور رمزگذاری و ارسال شود.

## اقدامات مقابله‌ای (Mitigation)
شرکت‌های Cisco و Symantec پیشنهاد می‌کنند که مالکان دستگاه‌های آلوده، روتر خود را به تنظیمات کارخانه بازگردانند. این کار معمولاً با فشردن دکمهٔ کوچک ریست در پشت دستگاه، به‌مدت ۱۰ تا ۳۰ ثانیه (بسته به مدل) و با استفاده از یک جسم نوک‌تیز مانند گیرهٔ کاغذ انجام می‌شود. این فرایند بدافزار را حذف می‌کند، اما همهٔ تنظیمات را نیز به حالت اولیه بازمی‌گرداند. اگر مدیریت از راه دور (Remote Management) روی روتر فعال باشد، بازگشت به تنظیمات کارخانه اغلب آن را غیرفعال می‌کند، زیرا این تنظیم در بسیاری از روترها به‌طور پیش‌فرض غیرفعال است. فعال بودن مدیریت از راه دور یکی از بردارهای احتمالی برای آلودگی اولیه محسوب می‌شود. پیش از اتصال دوبارهٔ روترِ بازنشانی‌شده به اینترنت، لازم است رمزهای عبور پیش‌فرض دستگاه تغییر داده شوند تا از آلودگی مجدد جلوگیری شود.

## دستگاه‌های آسیب‌پذیر
بررسی بدافزار  وی‌پی‌ان فیلتر نشان می‌دهد که قابلیت آلوده سازی روترهای صنعتی و همچنین روترهای خانگی و اداری تولید شده توسط شرکتهای Linksys, MikroTik, Netgear، و TP-Link را دارا می‌باشد. لیست زیر شامل دستگاهایی می‌باشد که آسیب‌پذیری آنها تأیید شده‌است:
* Linksys E1200
* Linksys E2500
* Linksys WRVS4400N
* Mikrotik RouterOS for Cloud Core Routers: Versions 1016, 1036, and 1072
* Netgear DGN2200
* Netgear R6400
* Netgear R7000
* Netgear R8000
* Netgear WNR1000
* Netgear WNR2000
* QNAP TS251
* QNAP TS439 Pro
* Other QNAP NAS devices running QTS software
* TP-Link R600VPN

## تحقیقات اف‌بی‌آی
اف‌بی‌آی در رسیدگی به این بدافزار نقشی برجسته ایفا کرده و تحقیقات آن نهایتاً به توقیف دامنهٔ toknowall.com انجامیده است؛ دامنه‌ای که ظاهراً برای هدایت درخواست‌های مرحلهٔ نخست بدافزار به‌کار می‌رفت تا بتواند مراحل دوم و سوم را پیدا کرده و نصب کند. وزارت دادگستری ایالات متحده همچنین شرکت Photobucket را ملزم کرد تا نشانی‌های اینترنتی (URL) شناخته‌شده‌ای را که برای توزیع بدافزار مرحلهٔ دوم استفاده می‌شدند، غیرفعال کند.

### توصیه‌ اف‌بی‌آی برای حذف آلودگی
اف‌بی‌آی در تاریخ ۲۵ مهٔ ۲۰۱۸ به کاربران توصیه کرد که دستگاه‌های در معرض خطر را یک‌بار راه‌اندازی مجدد (Reboot) کنند. این کار مراحل دوم و سوم بدافزار را به‌طور موقت حذف می‌کند؛ اما مرحلهٔ اول همچنان باقی می‌ماند و روتر را وادار می‌کند دوباره تلاش کند تا بار مخرب را دانلود کرده و خود را مجدداً آلوده کند. با این حال، پیش از صدور این توصیه، وزارت دادگستری ایالات متحده نقاط پایانی وب مورداستفادهٔ بدافزار برای نصب مرحلهٔ دوم را توقیف کرده بود.

با از کار افتادن این URLها، بدافزار ناچار است برای نصب مرحلهٔ دوم به مکانیزم پشتیبان (fallback) یعنی گوش‌دادن به سوکت روی دستگاه تکیه کند. این روش مستلزم آن است که سیستم‌های فرماندهی و کنترل (C2) مهاجمان، تک‌تک دستگاه‌ها را به‌صورت مستقیم هدف قرار دهند؛ امری که ریسک شناسایی مهاجمان را افزایش می‌دهد. اف‌بی‌آی همچنین توصیه کرد که کاربران، مدیریت از راه دور را روی دستگاه‌های خود غیرفعال کرده و سفت‌افزار (Firmware) روتر را به‌روزرسانی کنند. به‌روزرسانی سفت‌افزار باعث حذف تمام مراحل بدافزار می‌شود، هرچند امکان آلودگی مجدد همچنان وجود دارد.

اف‌بی‌آی اعلام کرد که اجرای این اقدامات به شناسایی سرورهایی که بار مخرب (Payload) را توزیع می‌کنند، کمک خواهد کرد.

## سازوکار بدافزار
این بدافزار شامل یه مرحله کلی می‌شود. در مرحله اول بدافزار با استفاده از شناسه کاربری و رمز شناخته شده دستگاه، یا با استفاده از آسیب‌پذیری‌های شناخته شده برای دستگاه (استفاده از آسیب‌پذیری‌های روز صفر تأیید نشده‌است) وارد دستگاه شده و روی آن نصب می‌شود و در همین مرحله یک اتصال با کانال فرمان و کنترل (Command and Control Infrastructure(C&C)) برای دریافت فرمان‌ها بعدی برقرار می‌نماید.
مرحله دوم کد اصلی حمله یا Payload اصلی را بارگذاری می‌کند که توانایی جمع‌آوری فایل از ترافیک، اجرای فرمان‌ها، استخراج داده، و کنترل دستگاه را برای حمله کننده فراهم می‌کند. این کار با دریافت یک دستور از C&C و اجرای آن روی دستگاه و سپس مجدد راه اندازی کردن آن به شکل خودکار انجام می‌شود.
در مرحله سوم برخی افزونه‌ها برای حملات مرحله دوم معرفی و بارگذاری می‌شوند. به عنوان مثال یک اسنیفر به منظور سرقت اطلاعات از ترافیک و به خصوص مانیتورینگ داده‌های پروتکل‌های Modbus SCADA به روتر اضافه می‌شوند. یکی دیگر از افزونه‌ها مرحله سوم قابلیت ارتباط با مرکز کنترل (C&C) از طریق شبکه Tor را فراهم می‌کند.

## پیشگیری
راهکار اصلی پیشگیری این حمله بازگرداندن رهیاب به تنظیمات اصلی کارخانه و تنظیم دیواره آتش به منظور جلوگیری از نفوذ به دستگاه و همچنین حذف قابلیت کنترل از راه دور به منظور جلوگیری از نفوذ مجدد به روتر می‌باشد. همچنین می‌بایست رمز عبور پیشفرض روتر تغیر کرده و سطح دسترسی‌ها کنترل شوند.

## منابع
https://en.wikipedia.org/wiki/VPNFilter

رده:فناوری در ۲۰۱۸ (میلادی)
رده:بدافزارها