كاسبرسكي: برمجية الفدية Cring تصيب الشركات عبر ثغرات أمنية في خوادم VPN

قالت كاسبرسكي إن جهات تخريبية نفذت في أوائل العام 2021، سلسلة من الهجمات باستخدام برمجية Cring الخبيثة، وذكر فريق الاستجابة لحوادث أمن الحاسوب التابع لشركة "سويس كوم" Swisscom CSIRT هذه الهجمات، لكن لم يتّضح بعدُ كيف تصيب برمجية الفدية هذه شبكات الشركات الصناعية.
أوضحت كاسبرسكي أن تحقيقًا أجراه خبراء فريق الاستجابة لطوارئ الحاسوب لنظم الرقابة الصناعية لديها في إحدى الشركات التي تعرضت للهجوم، كشف عن أن هجمات Cring تستغل ثغرة في خوادم الشبكة الافتراضية الخاصة VPN، وضربت هذه الهجمات شركاتٍ صناعية في دول أوروبية، وأدّت في حالة واحدة على الأقل إلى إغلاق مؤقت لأحد مواقع الإنتاج.
أضافت أن ثغرة CVE-2018-13379 الموجودة
في خوادم Fortigate VPN أصبحت معروفة منذ العام 2019، وجرت معالجتها وتصحيحها، لكن لم يتم تحديث جميع الأجهزة التي توجد بها هذه الثغرة. ومنذ خريف العام 2020 بدأت تظهر في منتديات الويب المظلمة قوائم جاهزة بعناوين IP للأجهزة التي تحتوي على الثغرة، ما قد يمكّن المهاجمين من الاتصال بالجهاز عبر الإنترنت والوصول عن بُعد إلى ملف XML الذي يحتوي على اسم المستخدم وكلمة المرور المخزنين بنص واضح.
قال ياخسلاف كوبيتسيف الخبير الأمني في فريق الاستجابة لطوارئ الحاسوب لنظم الرقابة الصناعية لدى كاسبرسكي، إن تفاصيل
مختلفة للهجوم تشير إلى أن المهاجمين حلّلوا بعناية البنية التحتية للشركة المستهدفة وأعدوا بنيتهم التحتية وأدواتهم الخاصة بناءً على المعلومات التي جمعوها في مرحلة المعاينة والاستطلاع، موضحًا، مثلًا، أن الخادم المضيف للبرمجية الخبيثة التي جرى منها تنزيل Cring، مُنح إمكانية التسلل عن طريق عنوان IP ولم يستجب إلا للطلبات الواردة من عدد من الدول الأوروبية.
أضاف: "أخفت النصوصُ البرمجية، التي استخدمها المهاجمون في نشاطهم التخريبي، البرمجيات الخبيثة لتبدو وكأنها إجراءات يتخذها حلّ مكافحة الفيروسات المؤسسي، وأنهت العمليات التي نفذتها خوادم قاعدة البيانات (Microsoft SQL Server) وأنظمة النسخ الاحتياطي (Veeam) التي تم استخدامها في الأنظمة المختارة للتشفير، ويوضّح تحليل نشاط المهاجمين، بناءً على نتائج التحقيق الذي أجري على شبكة الشركة، أنهم اختاروا تشفير تلك الخوادم التي اعتقد المهاجمون أنها ستسبب أكبر ضرر لعمليات الشركة في حالة فقدها".