EternalRomance یک اکسپلویت قدرتمند است که پروتکل مایکروسافت سرور پیام بلوک (SMB) را هدف قرار می دهد. این یکی از مجموعه ابزارهایی است که ظاهراً توسط آژانس امنیت ملی ایالات متحده (NSA) توسعه یافته و توسط گروه Shadow Brokers در سال 2017 به بیرون درز کرده است. این اکسپلویت به مهاجم از راه دور اجازه می دهد تا دسترسی غیرمجاز به سیستم ها و اجرای کد دلخواه داشته باشد، در نتیجه یک مقدار قابل توجه را ایجاد می کند. تهدید امنیت سایبری
پیدایش عشق ابدی و اولین ذکر آن
اولین باری که مردم از EternalRomance آگاه شدند در 14 آوریل 2017 بود، زمانی که یک گروه هکر به نام Shadow Brokers مجموعه ای از ابزارها و سوء استفاده های هک ادعایی NSA را منتشر کرد. این دامپ شامل EternalRomance به همراه چندین اکسپلویت دیگر مانند EternalBlue، EternalChampion و EternalSynergy بود.
گروه Shadow Brokers در سال 2016 ظهور کرد و ادعا کرد که این ابزارها را از تیم هکر نخبه NSA معروف به Equation Group به سرقت برده است. پیش از افشای اطلاعات در سال 2017، احتمالاً این ابزارها و قابلیت های آنها فقط برای منتخب پرسنل اطلاعاتی و امنیت سایبری شناخته شده بود.
در حال گسترش در EternalRomance
EternalRomance از یک آسیب‌پذیری در SMBv1، یک پروتکل شبکه که به اشتراک‌گذاری منابع، مانند فایل‌ها و چاپگرها، از طریق شبکه اجازه می‌دهد، سوء استفاده می‌کند. پروتکل SMB به طور گسترده در سیستم های ویندوز استفاده می شود. به طور خاص، EternalRomance یک نقص شناسایی شده به عنوان CVE-2017-0143 را هدف قرار می دهد.
این اکسپلویت به مهاجمان اجازه می‌دهد تا بسته‌های ساخته‌شده خاص را به سرور SMBv1 هدفمند بفرستند و به آنها اجازه می‌دهد کد دلخواه را روی سرور هدف اجرا کنند. این می تواند منجر به دسترسی غیرمجاز به سیستم، سرقت داده ها یا انتشار بدافزارهایی مانند باج افزار شود.
مکانیک درونی عشق ابدی
در هسته خود، EternalRomance از نقص حافظه در پروتکل SMBv1 بهره می برد. این اکسپلویت شامل ارسال بسته‌های ساخته‌شده مخصوص به سرور SMB هدف است که می‌تواند خطای سرریز بافر را ایجاد کند. این خطا پردازش عادی را مختل می کند و به مهاجم اجازه می دهد کد دلخواه را اجرا کند.
در مورد EternalRomance، این اجرا اغلب به صورت یک بار پشتی انجام می شود که روی سیستم در معرض خطر نصب می شود. سپس از این درب پشتی می توان برای راه اندازی حملات اضافی، نصب بدافزار یا سرقت اطلاعات حساس استفاده کرد.
تجزیه و تحلیل ویژگی های کلیدی EternalRomance
ویژگی های کلیدی اکسپلویت EternalRomance عبارتند از:
-
هدف گذاری SMBv1: EternalRomance یک آسیب پذیری در SMBv1 را هدف قرار می دهد، پروتکلی که به شدت در سیستم های ویندوز برای به اشتراک گذاری منابع استفاده می شود.
-
اجرای کد از راه دور: این اکسپلویت به مهاجم اجازه می دهد تا کد دلخواه را بر روی یک سیستم هدفمند اجرا کند که می تواند منجر به به خطر افتادن کامل سیستم شود.
-
نصب درب پشتی: هنگامی که یک سیستم در معرض خطر قرار می گیرد، EternalRomance اغلب یک درب پشتی نصب می کند که دسترسی دائمی را برای مهاجم فراهم می کند.
-
طفره رفتن: EternalRomance به عنوان یک اکسپلویت پیشرفته برای فرار از مکانیسم‌های تشخیص رایج طراحی شده است که شناسایی و کاهش آن را دشوار می‌کند.
-
تکثیر کرم مانند: این اکسپلویت می تواند برای انتشار خود در سراسر یک شبکه، شبیه به یک کرم، استفاده شود و چندین سیستم را در یک بازه زمانی کوتاه آلوده کند.
انواع عشق ابدی
EternalRomance، به عنوان یک سوء استفاده، به خودی خود «انواع» متفاوتی ندارد، بلکه تغییرات یا اکسپلویت های مرتبطی دارد که همگی بخشی از سری Eternal هستند که توسط Shadow Brokers فاش شده است. این شامل:
| نام اکسپلویت | شناسه CVE | شرح |
|---|---|---|
| آبی ابدی | CVE-2017-0144 | از یک آسیب پذیری در SMBv1 سوء استفاده می کند و به طور مشخص در حملات باج افزار WannaCry و NotPetya استفاده می شود. |
| قهرمان ابدی | CVE-2017-0146 | از یک شرط مسابقه در مدیریت تراکنش در SMBv1 استفاده می کند |
| EternalSynergy | CVE-2017-0143 | مشابه EternalRomance، از یک نقص در SMBv1 استفاده می کند |
با استفاده از Eternal Romance، مشکلات و راه حل ها
EternalRomance یک سلاح سایبری قدرتمند است و معمولاً توسط مجرمان سایبری و بازیگران تهدید تحت حمایت دولت برای دسترسی غیرمجاز به شبکه ها استفاده می شود. استفاده از آن می تواند به آسیب های قابل توجهی مانند سرقت داده ها، تخریب یا حملات باج افزار منجر شود.
با این حال، راه های موثری برای کاهش خطرات مرتبط با این سوء استفاده وجود دارد:
-
مدیریت پچ: مایکروسافت یک وصله برای آسیب‌پذیری SMBv1 (MS17-010) در مارس 2017 منتشر کرد. اطمینان از به‌روز بودن همه سیستم‌ها با این وصله‌ها و سایر وصله‌ها، گامی حیاتی برای دفاع در برابر EternalRomance است.
-
تقسیم بندی شبکه: با تفکیک منابع شبکه و محدود کردن حرکت جانبی، یک سازمان می تواند آسیب یک سوء استفاده بالقوه را محدود کند.
-
غیرفعال کردن SMBv1: اگر SMBv1 برای عملیات تجاری ضروری نباشد، غیرفعال کردن آن می‌تواند تهدید را به کلی از بین ببرد.
مقایسه با اصطلاحات مشابه
در حالی که EternalRomance در رویکرد خود منحصر به فرد است، برخی از ویژگی های آن را با سایر سوء استفاده های سایبری معروف به اشتراک می گذارد:
| بهره برداری | شباهت | تفاوت کلیدی |
|---|---|---|
| Petya/NotPetya | هر دو برای انتشار باج افزار در یک شبکه استفاده می شوند | Petya/NotPetya گونه‌ای از باج‌افزار است، در حالی که EternalRomance یک سوء استفاده برای ارائه چنین محموله‌هایی است. |
| استاکس نت | هر دو تسلیحات سایبری پیچیده ای هستند که احتمالاً توسط دولت-ملت ها ساخته شده اند | Stuxnet سیستم های SCADA را هدف قرار داده است، در حالی که EternalRomance سیستم های ویندوز را از طریق پروتکل SMBv1 هدف قرار می دهد. |
| خون دل | هر دو به مهاجمان اجازه می دهند تا داده ها را از سیستم های هدفمند استخراج کنند | Heartbleed کتابخانه OpenSSL را هدف قرار می دهد، در حالی که EternalRomance از یک آسیب پذیری در SMBv1 سوء استفاده می کند. |
دیدگاه های آینده در مورد عشق ابدی
آینده بهره‌برداری‌هایی مانند EternalRomance نزدیک به تکامل امنیت سایبری است. با بهبود دفاع ها، اکسپلویت ها باید برای حفظ اثربخشی خود تکامل یابند. علاوه بر این، پذیرش فزاینده هوش مصنوعی و یادگیری ماشین در امنیت سایبری ممکن است موفقیت چنین سوء استفاده‌هایی را دشوارتر کند.
از طرف دیگر، با گسترش اینترنت اشیا (IoT) و اتصال دستگاه های بیشتری به شبکه ها، سطح حمله احتمالی برای سوء استفاده هایی مانند EternalRomance نیز افزایش می یابد. بنابراین، تداوم هوشیاری و اقدامات پیشگیرانه امنیت سایبری ضروری است.
سرورهای پروکسی و EternalRomance
در حالی که سرورهای پروکسی مستقیماً با EternalRomance تعامل ندارند، می توانند در استراتژی امنیت سایبری گسترده تر نقش داشته باشند. یک سرور پروکسی به عنوان یک واسطه بین کاربر و اینترنت عمل می کند که می تواند لایه ای از ناشناس بودن و امنیت را اضافه کند.
پراکسی‌ها می‌توانند به پنهان کردن ساختار داخلی شبکه کمک کنند و دستیابی به اطلاعات مفید را برای مهاجم خارجی دشوارتر کنند. با این حال، آنها یک راه حل مستقل نیستند و باید در ترکیب با سایر اقدامات امنیتی مانند فایروال ها، نرم افزار آنتی ویروس و وصله های معمول استفاده شوند.
لینک های مربوطه
برای اطلاعات دقیق تر در مورد EternalRomance و موضوعات مرتبط، منابع زیر می توانند مفید باشند:
