حمله‌ی بزرگ به وب‌گاه‌های وردپرس و ایجاد ابربات‌نتی عجیب
کارشناسان امنیتی هشدار داده‌اند که مجموعه‌ای از حملات شدید ۱ به منظور شکستن وب‌لاگ‌های ناامن وردپرس طراحی شده و به رشد بات‌نت۲ قدرتمند غیرمعمولی که در حال حاضر از بیش از ۹۰۰۰۰ کارگزار وب ساخته شده، کمک می‌کند.
در
طول هفته‌ی گذشته تحلیل‌گرانِ چندین شرکت امنیتی شاهد رشد نگران‌کننده‌ی
حمله‌ای موسوم به «حمله‌ی جستجوی فراگیر»بودند که در وب‌گاه‌هایی که توسط
وردپرس طراحی شده، اتفاق افتاده است. وردپرس تقریباً محبوب‌ترین سامانه‌ی
مدیریت محتوای وب‌گاه در حال حاضر است؛ از این رو خطر این آسیب‌پذیری
بسیاری از افراد را تهدید می‌کند.
به گفته‌ی شرکت امنیت وب Incapsula،
مسئولان این جنایت اینترنت را به منظور جستجوی نصب‌های وردپرس پویش کرده و
سپس سعی می‌کنند با استفاده از فهرستی از ترکیب ۱۰۰۰ نام کاربری و
گذرواژه‌ی رایج در بخش مدیریت این وب‌گاه‌ها ورود پیدا کنند.
وب‌گاه‌های آلوده با بک‌دوری۳
آمیخته می‌شوند که به مهاجمین اجازه می‌دهد از راه دور کنترل وب‌گاه‌ها را
به دست گیرند.(شایان ذکر است که بک‌دورها حتی اگر مالک اصلی وب‌گاه
گذرواژه را تغییر دهد باز هم باقی خواهند ماند.) سپس وب‌گاه‌های آلوده در
بات‌نتِ حمله به کارگزار گماشته شده و در راه‌اندازی حملات جستجوی فراگیر
به دیگر وب‌گاه‌هایی که وردپرس را اجرا می‌کنند، مورد استفاده قرار
می‌گیرد.
ترافیکی که توسط همه‌ی این فعالیت‌ها ایجاد می‌شود، برای برخی
شرکت‌های میزبان وب ویرانی‌هایی را به دنبال خواهد داشت. به گفته‌ی Gaffan،
کارشناس شرکت Incapsula، این اتفاق بیشتر به ارائه‌دهندگان سرویس لطمه
می‌زند. به محض نفوذ، این کارگزاران در بمباران دیگر کارگزارها مورد
استفاده قرار می‌گیرند. وی افزود: «ما در مورد کارگزاران وب صحبت می‌کنیم؛
نه رایانه‌های خانگی. رایانه‌ها شاید با اینترنت۱۰ یا ۲۰ مگابایتی متصل
باشند؛ اما ارائه‌دهندگان سرویس پهنای باند نامحدودی دارند. به عقیده‌ی ما
مهاجمان در حال ایجاد سپاهی از زامبی۴ها هستند؛ کارگزاران بزرگی که دیگر اهداف را بمباران می‌کنند.»
درواقع
این اخطار ابتدا از جانب Houston، یکی از بزرگ‌ترین ارائه‌کننده‌ی سرویس
در آمریکا، بیان شد. اطلاعات این شرکت بیان می‌کند که بات‌نتِ وردپرس در
حال حاضر شامل بیش از ۹۰۰۰۰ وب‌گاه است.
به گفته‌ی مدیرعامل شرکت CloudFlare۵
روش‌های به کار گرفته شده در این حمله مشابه روشی است که مجرمان در بات‌نت
موسوم به «itsoknoproblemro/Brobot» به کار گرفته بودند. این بات‌نت در
پاییز سال ۲۰۱۲ مسئول حملات سایبری به بزرگ‌ترین مؤسسات مالی آمریکا بود.
Matthew
Prince، مدیرعامل Cloudflare، توضیح داد: «یکی از نگرانی‌های چنین حملاتی
این است که مهاجمان از بات‌نت ضعیفی متشکل از رایانه‌های خانگی استفاده
کرده تا بات‌نتی ازکارگزاران بزرگ ایجاد کنند و آن را برای حمله‌ی بعدی خود
آماده سازند. این ماشین‌های بزرگ سبب آسیب‌های بزرگی به ویژه در حملات
انسداد سرویس۶ می‌شوند؛ چرا که کارگزاران، اتصالات شبکه‌ای بزرگی داشته و قادرند حجم بسیار بالایی از ترافیک را ایجاد کنند.»
به
توصیه‌ی کارشناسان، مدیران وب‌گاه‌های وردپرس باید گذرواژه‌های خود را عوض
کرده و مواردی را انتخاب کنند که دست کم ۸ شناسه داشته باشد، متشکل از
حروف کوچک و بزرگ بوده و شامل نویسه‌های ویژه(^%$#&@*) نیز باشد.
همچنین کاربران می‌توانند دسترسی به بخش مدیریتی را محدود کنند که در این
صورت فقط آدرس‌های آی‌پی خاص قادرند به این بخش دست یابند.
همچنین کاربران وردپرس می‌توانند از افزونه‌ی ارائه شده در Duo Security
بهره بگیرند که ورود ایمن را با استفاده از کدهای یک بار مصرف که از طریق
پیام متنی و یا برنامه‌های مخصوص تلفن‌همراه ارسال می‌شود، ممکن می‌سازد.
Daniel Cid، مدیر شرکت Sucuri Security۷،
بیان کرد که طبق مشاهدات تیم امنیتی وی وب‌گاه‌های آلوده در دیگر حملات
استفاده نشده‌اند. به گفته‌ی Cid بیشتر حملات جستجوی فراگیر توسط سیستم‌های
رومیزی و تحت کنترل نفوذگران اداره می‌شود.
«ما شاهد یک افزایش بزرگ در
حملات جستجوی فراگیر نسبت به متوسط ماه‌های پیشین هستیم(تقریباً سه
برابر). با این حال دست کم طبق اطلاعات ما، آن‌ها از وب‌گاه‌های در معرض
خطر برای ایجاد یک بات‌نت برای پویش دیگر وب‌گاه‌ها استفاده نمی‌کنند. من
گمان می‌کنم که این نوعی احتکار است. با نظارت بر یکی از وب‌گاه‌هایی که به
آن نفوذ شده بود، مشاهده کردیم که مهاجمان بک‌دورها و بدافزارهایی را در
آن‌ها تزریق کرده بودند که از جمله‌ی آن‌ها بسته‌ی نفوذی Blackhole بود.»
Cid همچنین نسخه‌ای از فهرست نام کاربری و گذرواژه‌هایی را که مهاجمان در
این‌گونه حملات به کار می‌بندند، به اشتراک گذاشت.
«معمولاً حملات
جستجوی فراگیر از کارگزاران برنمی‌خیزد، بلکه از سیستم‌های رومیزی ایجاد
می‌شود. مهاجمان بک‌دور‌هایی تزریق می‌کنند(گونه‌ای از بک‌دور Filesman) و
سپس از این وب‌گاه‌ها برای تزریق بدافزار استفاده کرده و یا حتی به
وب‌گاه‌های دیگر نفوذ می‌کنند.»
به گفته‌ی Sucuri، مدیران وب‌گاه‌های
وردپرسی که مورد حمله قرار گرفته‌اند می‌بایست سریعاً اقدامات زیر را به
جهت از بین بردن آلودگی به کار ببندند:
- ورود به بخش مدیریت و حذف هر گونه کاربر مدیر ناشناس. چرا که پس از نفوذ اولین گامی که مهاجمان برمی‌دارند ایجاد یک کاربر جدید است.
- تعویض گذرواژه‌ی تمامی کاربران مدیر و اطمینان از اینکه همه‌ی حساب‌های کاربری از گذرواژه‌های قوی استفاده می‌کنند.
- به‌روز‌رسانی کلید‌های رمزنگاری درون وردپرس که در غیر این صورت هر کاربر مدیر می‌تواند درون سیستم باقی بماند.
- نصب مجدد وردپرس از ابتدا و یا بازگردانی به یک نسخه‌ی شناخته شده و ایمن.
در شکل زیر که در وب‌گاه Builtwith.com منتشر شده و نحوه‌ی توزیع سامانه‌های مدیریت محتوا را در میلیون‌ها وب‌گاه برتر به نمایش گذاشته است، میتوانید میزان استفاده و محبوبیت این سامانه‌ی مدیریت محتوا را با دیگر سامانه‌ها مقایسه کنید:
