ITanalyze

شنبه ششم مهر ماه 98 در خبری که از سوی شبکه خبر منتشر شده است، سامانه ارزی کشور مورد حمله DDoS قرار گرفته است. DDoS نوعی حمله به شدت مرموز است که برای جلوگیری و دفع آن هیچ راه حل مشخصی وجود ندارد.

در ابتدا گزارش حمله دیداس از سوی روابط عمومی یکی از سامانه های ارزی شروع شد و پس از آن در مدت کوتاهی باقی سامانه های مربوط به حوزه ارز نیز درگیر حمله زامبی ها شدند.

مسئول امنیت یکی از پایگاه هایی که مورد حمله قرار گرفته بود به پایگاه خبری ایرنا گفت: بتدا در تماسی با مسئولین سایت، درخواست پول کردند و اعلام کردند اگر پولی که مد نظر آنهاست پرداخت نکند کاری می کنند که سایت از دسترس خارج شود.

هرچند مکانیزم هایی برای مقابله با این حمله در نظر گرفته شده بود اما فشار و شدت حمله به شدتی زیاد بود که بازهم سایت داون شد. گفته می شود حدود 15 هزار بات فقط در یک روز شناسایی شده است.

این حملات فقط مخصوص یک پایگاه نبوده و وبسایت های زیادی مورد حمله قرار گرفته اند. حجم حملات اتفاق افتاده 20 برابر استاندارد های جهانی بوده است. تحقیقات به عمل امده نشان می دهد اکثر این حملات از سوی کشورهایی مانند روسیه، اکراین و قزاقستان صورت گرفته است.

هرچند نمی توان هیچ راه حل قطعی و مشخصی برای حملات DDoS تعریف کرد اما توصیه میشود وب سایت های حوزه ارز دیجیتال و سامانه های ارزی دیگر از سرویس های کلود بیس استفاده کنند.

حمله DDoS چیست؟

این نوع از حمله که حمله زامبی ها معروف است می تواند برای افراد عادی و یا سرور ها رخ دهد. DDoS مخفف Distributed Denial of Service است. زمانی این حمله رخ می دهد که حجم زیادی از تقاضاهای کاذب و دروغین به سمت سرور هدایت شود. حجم زیاد درخواست ها در یک لحظه باعث کندی سرور و در نتیجه از کار افتادن سرور می شود.
به طور معمول یک راه حل مشخص برای مبارزه و یا جلوگیری از این مشکل وجود ندارد. تنها راه حلی که می تواند گاهی نجات دهنده باشد آن است که سرور در زمان تشخیص مقدار زیاد تقاضا که نامتعارف باشد، دسترسی به یک تقاضای جدید را محدود کند.

مدیرکل حقوقی سازمان فناوری اطلاعات ایران از پیگیری برای دستگیری عامل حملات سایبری به کسب و کارها و رسانه های کشور با همکاری معاونت فضای مجازی دادستانی کل کشور خبر داد.

به گزارش خبرنگار مهر، به تازگی فرد یا گروهی از مجرمان سایبری با هدف قراردادن سرور برخی کسب وکارها و رسانه های آنلاین کشور، در پی باج خواهی از آنها برآمده اند. گفته می شود عامل این حمله سایبری که از نوع DDOS (دیداس) است منشا داخلی دارد و با نام «کفتار سایبری» شناخته می شود و از کسب‌وکارها تقاضای بیت‌کوین کرده است.

«دیداس» از رایج‌ترین حمله‌های سایبری است که سرورها را مورد هدف قرار می‌دهد. البته هر کاربر عادی هم ممکن است به‌گونه‌ای درگیر این نوع حملات شود. فرآیند کار این حملات به نحوی است که حجم زیادی از تقاضای کاذب عمدا به‌سمت سرور مورد هدف روانه می شود، تا آن سرور از کار بیفتد.

اگرچه مرکز ماهر، مرکز افتا و پلیس فتا به عنوان مراکز مسئول در امنیت فضای تبادل اطلاعات تاکنون در مورد عملیات خرابکارانه این مجرم سایبری گزارشی منتشر نکرده اند اما محمد جعفر نعناکار مدیرکل حقوقی سازمان فناوری اطلاعات در نامه ای به معاون دادستان کل کشور در امور فضای مجازی، آمادگی این سازمان را برای همکاری در دستگیری عامل حملات DDoS به کسب وکارها و رسانه های کشور اعلام کرد.

وی در توئیتر نوشت: با هماهنگی رئیس سازمان فناوری اطلاعات در خصوص «کفتار سایبری»، نامه ای به معاون فضای مجازی دادستانی کل کشور زدم و اعلام کردم سازمان فناوری اطلاعات آماده هرگونه همکاری در خصوص این مجرم سایبری است و تقاضا کردم که کیفرخواست به اشد مجازات مقرر قانونی صادر کنند.

در این باره امیر ناظمی رئیس سازمان فناوری اطلاعات نیزدر توئیتر نوشت: اگرچه براساس تقسیم کار شورای عالی فضای مجازی، پلیس فتا مسئول امنیت کسب وکارها و مرکز ماهر مسئول امنیت سایتهای دولتی است اما ما امنیت را بیش از مسدودسازی و برآمده از مشارکت عمومی می دانیم و هم امنیت کسب وکارها را کمترین مسئولیت اجتماعی خودمان می دانیم.

از چند هفته قبل، حمله‌های هکری به سایت‌های ایرانی با هدف اخاذی از کسب و کارها شکل گرفته و هدف هکرها از تهدید کسب‌وکارهای اینترنتی دریافت بیت‌کوین است، هر فردی هم به خواسته‌شان تن ندهد حملاتشان را شروع و دسترسی به سایت را مسدود می‌کنند.

این روزها چیزی که بیش از همه در دستگاه‌های ارتباطی ما نصب می‌شود، فیلترشکن‌هایی هستند که تمامی آنها بدون این که منبع انتشارشان مشخص باشند به دست ما می‌رسد. همین فیلترشکن‌های آلوده می‌توانند ابزار حمله‌های DDoS، تهدید و باج‌خواهی قرار بگیرند. هر چند به گفته «امیر ناظمی» رئیس سازمان فناوری ایران، این احتمال وجود دارد که فیلترشکن‌ها و پوسته‌های فارسی تلگرام این حملات را رقم زده باشند اما برای اطلاعات دقیق تر، مرکز ماهر در حال بررسی این مساله است.
احتمالا برایتان پیش آمده که قصد خرید اینترنتی از سایتی را داشته باشید، اما آن سایت برای شما باز نشود یا سرورش از کار بیفتد. دیداس DDoS مخفف Distributed Denial of Service دقیقا همین اتفاق است. زمانی حمله‌هایی از این دست اتفاق می‌افتد که حجم زیادی از تقاضای کاذب عمدا به‌سمت سرور مورد هدف روانه شود، تا آن سرور از کار بیفتد.
«فرهاد فاطمی» کارشناس حوزه فناوری ابری، معتقد است احتمال این که نرم افزارها با منتشرکننده ناشناس دست به تخریب سیستم‌ها بزنند و دستگاه‌ها را آلوده کنند، بسیار زیاد است. نمی‌توان دسته‌بندی مشخصی از این بدافزارها ارائه داد و به طور حتم گفت آنها به استفاده از فیلترشکن‌ها مربوط هستند. هر نرم‌افزاری که به شکل ناشناس منتشر شود، می‌تواند این حفره امنیتی را رقم بزند و نمی‌توان در این خصوص نظر قطعی داد که چه نرم‌افزاری دقیقا این مشکل را موجب می‌شود.
فاطمی، معاون یکی از شرکت‌های هاستینگ که طی هفته گذشته،20 حمله DDoS در مجموعه آنها خنثی شده است، روز دوشنبه در گفت‌وگوی اختصاصی با خبرنگار علمی ایرنا گفت: کار ما ارائه سیستم‌های ابری به بسیاری از شرکت‌های ایرانی است، در یک هفته گذشته به 20 شرکت سرشناس و معتبر ایرانی حمله هکری شده است. سرورهای این شرکت‌ها به سرویس امنیت ابری ما انتقال پیدا کرده‌اند و حملاتشان خنثی شده است.
وی که احتمال می‌دهد تعداد حمله‌ها بیش از آنچه گزارش شده، باشد، افزود: البته این آمار مجموعه‌هایی است که به ما مراجعه کرده‌اند و ممکن است حمله‌ها بیش از این تعداد باشد. این حملات گسترده و بسیار زیاد بوده در لایه‌های سه و چهار، حجم حمله 50 گیگابیت بر ثانیه و در لایه هفت، چیزی حدود دو میلیون درخواست در دقیقه بوده است.

**حمله هکرها موضوع عجیبی نیست
فاطمی معتقد است که این حمله‌ها همیشه و به صورت مداوم وجود داشته و موضوع جدیدی نیست و می‌گوید: طی چهار سالی که در حال ارائه خدمات هستیم این حملات را در نقاط مختلف، به روش‌های مختلف و روی سرویس‌های مختلف مشاهده کرده‌ایم مانند حملاتی که از سال 94 روی سیستم خودمان انجام شد یا حمله‌هایی که شب یلدای سال 94 برای دیجی کالا و سایت‌های فروشگاهی دیگری مانند بامیلو، صورت گرفت.
وی توضیح داد: این حمله‌ها بعد از مدت کوتاهی از سمت سایت‌های فروشگاهی به سوی بانک‌ها متمرکز شدند و شروع کردند به آلوده کردن سیستم‌های آنها به این ترتیب که حمله به بانک‌های ایرانی به سیستم بانک‌های پاسارگارد، آینده، سامان و توسعه تعاون آغاز شد که خوشبختانه توانستیم امنیت آنها را به سرعت تامین کنیم.
او در خصوص اهدافی که پشت چنین حملاتی وجود دارد، گفت: مدل اول این حملات به دلیل از بین بردن رقبا اتفاق می‌افتد، مثلا یک کسب و کار با استفاده از این نرم‌افزارها به رقیبش حمله می‌کند؛ نمونه‌ای که همین الان روی سرویس‌هایی که فالوئر اینستاگرام می‌فروشند وجود دارد و هدفشان بیشتر از بین بردن رقیب است.

** ابزارک‌هایی (دیوایس‌هایی) که زامبی می‌شوند
فاطمی با بیان اینکه هدف بعدی از حمله‌های هکری که بسیار مهم است و باید بیشتر روی آن تمرکز کرد، حمله با هدف باج‌خواهی و تهدید کسب و کارهاست، گفت: شیوه کار این بدافزارها به این شکل است که یک یا چند اکانت جعلی (فیک) در تلگرام، شروع به تهدید یک کسب و کار می‌کنند و به آن‎ها می گویند اگر به ما بیت‌کوین ندهید به شما حمله می‌کنیم و معمولا هم ظرف مدت کوتاهی تهدیدشان را عملی می‌کنند و بعد از حمله‌های دیداس، سایت‌ها از دسترس خارج می‌شوند.
او در توضیح بیشتر عنوان «زامبی» که به این حمله‌ها اطلاق شده است، گفت: در این حملات، یک سری از دیوایس‌ها پس از هک شدن به زامبی تبدیل می‌شوند و به سایت‌های مورد نظر حمله می‌کنند. این حمله می‌تواند به دیوایس‌های موبایل و سایت یا به دوربین‌های مداربسته که با اینترنت اشیا به هم متصل شده‌اند، صورت بگیرد. در واقع در این ماجرا، هر آنچه به اینترنت وصل شود می‌تواند در صورتی که به آن حمله شود، نقش زامبی را بازی و کل سیستم را مختل کند. این فعال کسب و کارهای اینترنتی درباره جغرافیای حمله‌کنندگان نیز گفت: همچنان سورس اکثر حملاتی که ما با آنها مواجه شدیم از کشورهایی مانند آمریکا، روسیه و چین صورت می‌گیرد؛ البته ممکن است این کاربران ایرانی باشند و از آن جا که با «وی پی ان» به اینترنت متصل می‌شوند، لوکیشن‌شان محل دیگری را نشان دهد.
او در پایان گفت: کسب و کارها وقتی مورد حمله قرار می‌گیرند، تازه به فکر امنیتشان می‌افتد. در حالی که ایجاد امنیت باید یکی از اصول اولیه کسب‌وکارهای اینترنتی باشد. در اکثر کشورهای بزرگ، همواره از سرویس‌های امنیتی استفاده می‌شود و به همین دلیل است که سایت‌های بزرگ دنیا، به صورت روزانه از دسترس خارج نمی‌شوند در حالی که در ایران ما به علت دوراندیش نبودن، شاهد اتفاقات زیادی از این دست هستیم.

در حالی که حمله مهاجم سایبری به سایت های اینترنتی ایران به بیش از دو هفته رسیده، همچنان از اقدام مسوولان دولتی و امنیت سایبری کشور در این زمینه خبری منتشر نشده است.
فناوران- کفتار سایبری، فرد یا گروهی که از حدود دو هفته قبل اقدام به حمله‌های وسیع DDoS  به وب‌سایت تعدادی از کسب‌وکارهای اینترنتی ایران کرده است. سه روز قبل روزنامه فناوران و سایت ITmen.ir در گزارشی به تشریح این حملات پرداخت و مهاجم نیز که از انتشار این گزارش و افشای اقدامات مجرمانه و باج‌خواهی‌اش عصبانی بود، از دو روز پیش سایت ITmen.ir را نیز زیر حملات خود گرفت. این کفتار سایبری که گفته شده از  کسب‌وکارها تقاضای بیت‌کوین کرده، همچنان بابت خرابکاری‌های خود عایدی نداشته و این موضوع گویا او را عصبی کرده است تا جایی که در گفت‌وگوهای تلگرامی با مسوولان سایت ITmen.ir به توهین و بکار بردن الفاظ زشت می‌پردازد. او که نام خود را Master گذاشته ادعاهای عجیب و غریبی هم مطرح می‌کند از جمله اینکه «دارای روابطی است» و این اقدامات را برای تامین امنیت وب‌فارسی انجام می‌دهد. اما از آنجا که حرف‌های ضد و نقیض زیادی مطرح می‌کند، این ادعا را نمی‌توان جدی گرفت و البته با توجه به درخواست بیت‌کوین در ازای قطع حملات، ادعای نگرانی‌اش برای امنیت وب فارسی در حد یک شوخی است.
اما از اینها گذشته، هنوز مشخص نیست که مسوولان امنیت سایبری کشور در زمینه مقابله با این باج‌گیر اینترنتی چه اقداماتی انجام داده‌اند. البته طبیعی است که فعلا اقدامات انجام شده یا در حال انجام، رسانه‌ای نشود؛ اما به هر حال باید هشدار داد که عملیات خرابکارانه این کفتار سایبری، گذشته از هزینه‌هایی که برای چند کسب‌وکار از جمله وب‌سایت آی‌تی‌من و فناوران به بار آورده، می‌تواند امنیت سایبری کشور را در ابعاد گسترده‌تری به مخاطره بیندازد. مثلا اگر این مجرم اینترنتی اقدام به خرابکاری در وب‌سایت‌های دولتی سایر کشور‌ها بپردازد، می‌تواند برای کشور تبعات امنیتی به دنبال داشته باشد. 
از سوی دیگر، باید مشخص شود که این فرد خلافکار آیا به جایی وابستگی دارد یا نه و منابع مالی مورد نیاز برای انجام اعمال مجرمانه‌اش از چه طریقی تامین می‌شود.
روزنامه فناوران تا کنون به درخواست‌های وی برای قطع جریان اطلاع‌رسانی درباره این حملات وقعی ننهاده و همچنان، با وجود زیان‌های ناشی از حملات، به رسالت خود عمل می‌کند. امیدواریم در روزهای پیش‌رو، نهادهای مسوول نیز نتایج برخورد با این مهاجم را به مردم گزارش کنند.

در پی انتشار گزارش‌هایی درباره حملات گسترده DDoS به کسب و کارها در داخل کشور، سایت ITmen.ir  با حملات شدید DDoS مواجه شد.
فرد مهاجمی که پیش از این در تماس تلگرامی و ایمیلی با برخی کسب و کارها، خود را نماینده گروه هکری معرفی کرده بود، روز گذشته در پیامی به خبرنگار فناوران تهدید کرد در صورت ادامه انتشار گزارش در خصوص این حملات، به سایت ITmen.irحمله خواهد کرد. فرد مهاجم که با اکانت Master فعال است، مدعی شد با انتشار این گزارش‌ها، بقیه افراد نیز متوجه این نوع کسب و کار شده و حملات مشابهی انجام خواهند داد!
در ادامه این فرد با ادمین کانال و سردبیر روزنامه از طریق تلگرام تماس گرفت و تهدیدات مشابهی را مطرح کرد.
سرانجام فرد مهاجم از حدود ساعت 17:45 دقیقه امروز یکشنبه، تهدیدات خود را عملی کرده و اکنون سایت itmen.ir به دلیل حملات DDoS از دسترس خارج شده است.
این فرد مهاجم پیشتر نیز به کسب و کارهای مختلفی پیام داده و خواستار دریافت باج به شکل بیت‌کوین شده است. او همچنین به صاحبان کسب و کارها گفته است در صورتی که باج مورد نظر را پرداخت کنند حاضر است به کسب و کارهای رقیب‌شان حمله کند. این بار اما جریان اطلاع‌رسانی از سوی مهاجم هدف قرار گرفت و به نظر می‌رسد وی از این که رقبای دیگری وارد این کار شده یا با حساسیت بیشتر در جامعه، مقابله جدی‌تری با این حملات صورت گیرد هراس دارد.
در روزهای گذشته گزارش‌هایی از حمله گسترده DDoS به برخی کسب و کارها از جمله علی‌بابا و زرین‌پال در سایت آی‌تی‌من و روزنامه فناوران منتشر شده است.