استغلت غالبية هجمات برامج الفدية في العام الماضي الأخطاء القديمة

العديد من الثغرات الأمنية التي استخدمها مشغلو برامج الفدية في هجمات 2022 كانت قديمة ومهدت الطريق للمهاجمين لإثبات المثابرة والتحرك بشكل جانبي من أجل تنفيذ مهامهم.

كشف تقرير جديد من Ivanti هذا الأسبوع أن الثغرات الأمنية في منتجات Microsoft و Oracle و VMware و F5 و SonicWall والعديد من البائعين الآخرين تمثل خطرًا واضحًا وقائمًا على المؤسسات التي لم تعالجها بعد.

الفولن القديمة لا تزال تحظى بشعبية

تقرير إيفانتي يستند إلى تحليل البيانات من فريق استخبارات التهديدات الخاص بها ومن أولئك العاملين في Securin و Cyber ​​Security Works و Cyware. يقدم نظرة متعمقة على الثغرات التي استغلها الفاعلون السيئون بشكل شائع في هجمات الفدية في عام 2022.

أظهر تحليل Ivanti أن مشغلي برامج الفدية استغلوا ما مجموعه 344 نقطة ضعف فريدة في هجمات العام الماضي - بزيادة قدرها 56 مقارنة بعام 2021. ومن هذا ، كانت 76٪ من العيوب من عام 2019 أو ما قبله. كانت أقدم الثغرات الأمنية في المجموعة هي في الواقع ثلاثة أخطاء تنفيذية عن بُعد (RCE) من عام 2012 في منتجات Oracle: CVE-2012-1710 في Oracle Fusion middleware و CVE-2012-1723 و CVE-2012-4681 في بيئة Java Runtime.

يقول سرينيفاس موكامالا ، كبير مسؤولي المنتجات في إيفانتي ، إنه بينما تُظهر البيانات أن مشغلي برامج الفدية قاموا بتسليح نقاط ضعف جديدة بشكل أسرع من أي وقت مضى في العام الماضي ، استمر الكثيرون في الاعتماد على نقاط الضعف القديمة التي لا تزال غير مصححة في أنظمة المؤسسات. 

يقول موكامالا: "إن العيوب القديمة التي يتم استغلالها هي نتيجة ثانوية لتعقيد البقع وطبيعتها المستهلكة للوقت". "هذا هو السبب في أن المؤسسات بحاجة إلى اتباع نهج إدارة الثغرات الأمنية القائم على المخاطر لتحديد أولويات التصحيحات حتى تتمكن من معالجة نقاط الضعف التي تشكل أكبر قدر من المخاطر على مؤسستهم."

أكبر التهديدات

من بين نقاط الضعف التي حددتها إيفانتي على أنها تمثل أكبر خطر ، كانت 57 نقطة وصفتها الشركة بأنها تقدم قدرات الجهات الفاعلة في التهديد لتنفيذ مهمتها بالكامل. كانت هذه نقاط ضعف تسمح للمهاجم بالحصول على وصول مبدئي ، وتحقيق الثبات ، وتصعيد الامتيازات ، والتهرب من الدفاعات ، وبيانات اعتماد الوصول ، واكتشاف الأصول التي قد يبحثون عنها ، والتحرك بشكل جانبي ، وجمع البيانات ، وتنفيذ المهمة النهائية.

كانت أخطاء Oracle الثلاثة من عام 2012 من بين 25 ثغرة أمنية في هذه الفئة تعود لعام 2019 أو أقدم. مآثر ضد ثلاثة منهم (CVE-2017-18362, CVE-2017-6884، و CVE-2020-36195) في منتجات من ConnectWise و Zyxel و QNAP ، على التوالي ، لم يتم اكتشافها حاليًا بواسطة الماسحات الضوئية ، كما قال إيفانتي.

نشأت مجموعة (11) من الثغرات الموجودة في القائمة والتي قدمت سلسلة كاملة من الثغرات من التحقق غير المناسب من المدخلات. تضمنت الأسباب الشائعة الأخرى للثغرات الأمنية مشكلات اجتياز المسار وإدخال أوامر نظام التشغيل وأخطاء الكتابة خارج الحدود وإدخال SQL. 

العيوب المنتشرة على نطاق واسع هي الأكثر شيوعًا

يميل ممثلو برامج الفدية أيضًا إلى تفضيل العيوب الموجودة في العديد من المنتجات. واحدة من أكثرها شعبية كانت CVE-2018-3639، نوع من ضعف القناة الجانبية التخمينية التي كشفت عنها إنتل في عام 2018. الثغرة موجودة في 345 منتجًا من 26 بائعاً ، كما يقول موكامالا. تشمل الأمثلة الأخرى CVE-2021-4428, عيب Log4Shell الشهير، والتي تستغلها حاليًا ست مجموعات على الأقل من برامج الفدية. العيب هو من بين تلك التي وجدها Ivanti تتجه بين الجهات المهددة مؤخرًا في ديسمبر 2022. وهي موجودة في 176 منتجًا على الأقل من 21 بائعًا بما في ذلك Oracle و Red Hat و Apache و Novell و Amazon.

اثنين من نقاط الضعف الأخرى مشغلي برامج الفدية المفضلة بسبب انتشارها على نطاق واسع CVE-2018-5391 في Linux kernel و CVE-2020-1472، وهو ارتفاع حرج في عيب الامتياز في Microsoft Netlogon. قال إيفانتي إن ما لا يقل عن تسع عصابات برمجيات الفدية ، بما في ذلك تلك التي كانت وراء بابوك وكريبتوميكس وكونتي ودارك سايد وريوك ، قد استخدمت هذا الخلل ، ولا تزال شعبية بين آخرين.

في المجمل ، وجد الأمن أن حوالي 118 نقطة ضعف تم استخدامها في هجمات الفدية العام الماضي كانت عيوبًا موجودة في العديد من المنتجات.

يقول موكامالا: "يهتم ممثلو التهديد كثيرًا بالعيوب الموجودة في معظم المنتجات".

لا شيء في قائمة CISA

والجدير بالذكر أن 131 من أصل 344 عيبًا استغلها مهاجمو برامج الفدية في العام الماضي لم يتم تضمينها في قاعدة البيانات المعروفة عن ثغرات الاستغلال المعروفة (KEV) التابعة لوكالة الأمن السيبراني وأمن البنية التحتية الأمريكية. تسرد قاعدة البيانات عيوب البرامج التي يستغلها الفاعلون المهددون بنشاط والتي يقيّمها CISA على أنها محفوفة بالمخاطر بشكل خاص. تتطلب CISA الوكالات الفيدرالية لمعالجة نقاط الضعف المدرجة في قاعدة البيانات على أساس الأولوية وعادة في غضون أسبوعين أو نحو ذلك.

يقول موكامالا: "من المهم أن هذه ليست في KEV التابع لـ CISA لأن العديد من المنظمات تستخدم KEV لتحديد أولويات التصحيحات". يوضح ذلك أنه على الرغم من أن KEV مصدر قوي ، إلا أنه لا يوفر رؤية كاملة لجميع نقاط الضعف المستخدمة في هجمات برامج الفدية ، كما يقول.

وجد Ivanti أن 57 نقطة ضعف تم استخدامها في هجمات الفدية العام الماضي من قبل مجموعات مثل LockBit و Conti و BlackCat ، كان لها درجات منخفضة ومتوسطة الخطورة في قاعدة البيانات الوطنية للثغرات الأمنية. الخطر: قد يؤدي هذا إلى تهدئة المنظمات التي تستخدم النتيجة لإعطاء الأولوية للإصلاح في إحساس زائف بالأمان ، كما قال بائع الأمن.

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• بلاتوبلوكشين. Web3 Metaverse Intelligence. تضخيم المعرفة. الوصول هنا.
• المصدر https://www.darkreading.com/attacks-breaches/dozens-of-vulns-in-ransomware-attacks-offer-adversaries-full-kill-chain