ماجرای هک شدن دو سایت آرمان و قانون چه بود؟
سردار غلامرضا جلالی رئیس سازمان پدافند غیرعامل کشور با تأکید بر اینکه سایت‌های رسانه‌ها و خبرگزاریها جزو مراکز حساس از لحاظ پدافند غیرعامل هستند و می‌‌بایست از حداقل امنیت برخوردار باشند و موارد امنیت سایبری در آنها رعایت شود، درباره بررسی موضوع هک شدن سایت دو روزنامه آرمان و قانون، اظهار داشت: موضوع هک شدن سایت دو روزنامه قانون و آرمان را بررسی و در اسرع وقت گزارشی از نتایج آن اعلام می‌کنیم.
سردار جلالی خاطرنشان کرد: طبیعتا سایت‌های خبرگزاریها و رسانه‌ها باید از امنیت بالایی در حوزه شبکه برخوردار باشد، این مسئله در دستورکار ما در سازمان پدافند غیرعامل قرار دارد.
شب گذشته اخباری جعلی و سراسر کذب بر روی خروجی سایت‌های روزنامه‌های آرمان و قانون قرار گرفت که بلافاصله این روزنامه‌‌ها اعلام کردند که سایت‌هایشان هک شده است.
مبدا حملات از انگلیس و آمریکا بود
ایلنا نوشت:
مرکز ماهر متعلق به سازمان فناوری اطلاعات با پیگری حمله سایبری به سایت روزنامه‌های قانون، آرمان و ستاره صبح، نتیجه بررسی‌های انجام شده را منتشر کرده است؛ بر اساس اعلام مرکز ماهر، به دلیل مشترک بودن مجری و تولید کننده نرم افزار ۳۰ سایت خبری کشور که روزنامه آرمان، قانون و ستاره صبح شامل این سایت‌ها است، از ادامه تهدید نفوذ به این سایت‌های خبری و لزوم پیشگری و افزایش ظرفیت‌های امنیتی خبر داده است.
گزارش مرکز ماهر در بررسی حملات سایبری به سایت‌های خبری روز گذشته به شرح زیر است:
در آستانه‌ی برگزاری راهپیمایی باشکوه ۲۲ بهمن‌ماه در روز شنبه مورخ ۲۱ بهمن‌ماه حدود ساعت ۲۰ الی ۲۲ اخباری در خصوص حمله به تعدادی از پورتال‌ها و وبسایت‌های خبری منتشر و باعث ایجاد نگرانی‌هایی در سطح جامعه شد.
مرکز ماهر وزارت ارتباطات و فناوری اطلاعات موضوع را سریعا مورد بررسی قرار داده و اقدامات فنی الزم را در این خصوص بعمل آورد. جهت اطلاع و رعایت نکات مهم مطرح در این زمینه، توضیح اجمالی حمله فوق در گزارش حاضر آمده است. وبسایت‌های خبری که مورد حمله قرار گرفته‌اند شامل: روزنامه‌ی قانون، روزنامه‌ی آرمان، روزنامه‌ی ستاره صبح بوده که در مرکز داده‌ی تبیان و مرکز داده شرکت پیشتاز میزبانی شده‌اند . گروه فنی مرکز ماهر اقدام به شناسایی نقاط اشتراک سیستم‌های هدف نموده و در این فرایند مشخص گردیده که تمامی این سامانه ها توسط یک شرکت و در بستر سیستم عامل ویندوز با سرویس‌دهندهی وب IIS و زبان برنامه‌نویسی Net.ASP توسعه داده شده‌اند.
شرکت تولید کننده نرم افزار این سامانه‌ها مجری بیش‌از ۳۰ وبسایت خبری به شرح زیر در کشور می‌باشد که نفوذگران از این حیث به مجموعه اهداف مناسبی دست پیدا نمودند. تهدید اخیر کماکان برای این سایت ها وجود دارد و الزامی است سریعا تمهیدات امنیتی مناسب را اعمال نمایند.
۱- armandaily.ir
۲- aminejameeh.ir
۳- kaenta.ir
۴- ghanoondaily.ir
۵- asreneyriz.ir
۶- sharghdaily.ir
۷- ecobition.ir
۸- karoondaily.ir
۹- baharesalamat.ir
۱۰- tafahomnews.com
۱۱- bankvarzesh.com
۱۲- niloofareabi.ir
۱۳- shahrvand-newspaper.ir
۱۴- etemadnewspaper.ir
۱۵- vareshdaily.ir
۱۶- bahardaily.ir
۱۷- nishkhat.ir
۱۸- sayeh-news.com
۱۹- nimnegahshiraz.ir
۲۰- shahresabzeneyriz.ir
۲۱- neyrizanfars.ir
۲۲- sarafrazannews.ir
۲۳- tweekly.ir
۲۴- armanmeli.ir
۲۵- davatonline.ir
۲۶- setaresobh.ir
۲۷- noavaranonline.ir
۲۸- bighanoononline.ir
۲۹- naghshdaily.ir
۳۰- hadafeconomic.ir
اقدامات فنی اولیه توسط مرکز ماهر به شرح زیر صورت پذیرفت:
شناسایی دارایی های مرتبط با سامانه‌ها جهت تحلیل دقیق در این زمینه متاسفانه مرکز داده تبیان هیچگونه همکاری را بعمل نیاورده است
از دسترس خارج نمودن سامانه‌های که مورد حمله قرار گرفته‌اند، جهت بازیابی و حذف تغییرات در محتوی پیام‌ها
تغییر و یا غیرفعال سازی نام کاربری اشتراکی و پیش فرض در تمامی سامانه‌ها
ایجاد یک Snapshot و همچنین یک کپی سالم و دست نخورده از سرویس‌دهنده‌های مجازی که مورد حمله قرار گرفته‌اند
کپی کامل از تمامی فایل‌های ثبت وقایع بر روی سرویس دهنده‌‌های هدف
پس از دریافت فایل های ثبت وقایع از حملات انجام شده از سرویس دهنده‌ها با تحلیل و بررسی تاریخچه‌ی حملات و آسیب پذیری‌ها حجم بالایی از فایل‌ها مورد تحلیل و آنالیز قرار گرفت و آیپی مبدا حملات استخراج شد که شامل ۵ آیپی از کشورهای انگلستان و آمریکا بوده است.
شواهد موجود در فایل‌های ثبت وقایع نشان می‌دهد که مهاجمان از دو روز قبل (از تاریخ ۲۰۱۸/۰۲/۰۸ الی ۲۰۱۸/۰۲/۱۰ ) پس از کشف آسیب پذیری‌های از قبیل انواع Injectionها، در تلاش جهت نفوذ با ابزارهای خودکار و نیمه خودکار جهت استخراج اطلاعات نظیر نام کاربری و کلمات عبور در پایگاه داده‌ای سامانه‌ها بوده‌اند. تمامی فعالیت‌ها و عملیات مخرب جهت کشف آسیب پذیری و نفوذ به سامانه‌ها، که متعلق به آدرسهای IP حمله کننده استخراج و بررسی شد.
اقدامات اصلاحی انجام شده:
۱-تغییر نام کاربری و کلمه عبور پیش فرض راهبر سامانه در تمامی محصولات شرکت
توضیح مهم در این زمینه:
تمامی سایت‌های خبری مورد حمله دارای نام کاربری و کلمه‌ی عبور پیشفرض(*****) و یکسان توسط شرکت پشتیبان بوده است.همچنین در بررسی مشخص گردید که متاسفانه آدرس پست الکترونیکی راهبر ارشد سامانه با سطح دسترسی بالا می‌باشد که نام کاربری و کلمه‌ی عبور استفاده شده در سایت‌ها نیز همان می‌باشد. این موارد *****@gmail.com برابر نشان می‌دهد و متاسفانه حداقل موارد امنیتی رعایت نشده است.
۲-اطلاع رسانی به تمامی دارندگان و استفاده‌کنندگان محصول شرکت مورد هدف
۳-کشف ماژول‌ها و بخش های آسیب پذیر در سایت‌های مورد حمله و اطلاع به پشتیبان جهت وصله امنیتی سریع
۴-هشدارها و راهنمایی‌های الزام آور جهت حفاظت و پیکربندی و مقاوم سازی سرویس دهنده و فایل ثبت وقایع بر روی تمامی سرویس دهنده‌ها
۵-اقدامات الزامی برای انجام آزمون نفوذپذیری بر روی تمامی بخش‌ها و ماژول‌های سامانه مشترک
بخش سایت‌خوان، صرفا بازتاب‌دهنده اخبار رسانه‌های رسمی کشور است.
ارسال نظر