هک F5 زنگ خطر را به صدا درآورد: آیا شاهد تکرار فاجعه سولار ویندز هستیم؟

نفوذ یک ساله به F5؛ جاسوسان چینی متهم ردیف اول

به گزارش زوم تک از رویترز، نفوذ دیجیتالی به شرکت امنیت سایبری F5 که بیش از یک سال طول کشیده و هفته گذشته علنی شد، نگرانی های زیادی ایجاد کرده است. این حمله که انگشت اتهام در آن به سوی جاسوسان چینی نشانه رفته، باعث شده تا مدافعان سایبری در سراسر این صنعت به دنبال نشانه هایی از نفوذ در شبکه های سازمانی متعددی باشند که از محصولات این شرکت استفاده می کنند.

نگرانی از افشاگری های بیشتر

چندین کارشناس نگران هستند که افشاگری های بیشتری در راه باشد و ابعاد این هک گسترده تر از آن چیزی باشد که در ابتدا اعلام شده است.

اطلاعات به سرقت رفته: کد منبع و آسیب پذیری های حساس

تا کنون، اطلاعات کمی در مورد دامنه دقیق این هک فراتر از بیانیه های رسمی شرکت F5 منتشر شده است. این شرکت تایید کرده که کد منبع (سورس کد) آن و همچنین اطلاعات حساس مربوط به آسیب پذیری های نرم افزاری به سرقت رفته اند.

گستردگی مشتریان F5؛ از فورچون 500 تا شبکه های دولتی

وب سایت F5 اعلام می کند که این شرکت به بیش از چهار پنجم شرکت های حاضر در فهرست فورچون 500 (Fortune 500) به نوعی خدمات ارائه می دهد. مقامات ایالات متحده نیز تایید کرده اند که شبکه های فدرال در میان اهداف این حمله در دوران پس از هک بوده اند و خواستار اقدام فوری برای مقابله با این تهدید شده اند.

حضور گسترده ای که به دلهره تبدیل شد

همین حضور گسترده به تنهایی باعث ایجاد نگرانی و دلهره ای فراگیر در میان متخصصان امنیت و مدیران سازمانی شده است.

واکنش بازار: سقوط 12 درصدی سهام F5

سهام شرکت F5 روز پنجشنبه گذشته، یعنی همان روزی که این شرکت مجموعه ای از اصلاحیه ها (فیکس ها) را برای محصولات آسیب پذیر قبلی خود منتشر کرد، با سقوط شدید 12 درصدی مواجه شد، اگرچه تا پایان هفته کمی از این سقوط را جبران کرد.

آیا هک F5 همان فاجعه سولار ویندز است؟

چندین تن از مدیران اجرایی و تحلیلگران امنیت سایبری، هک شرکت F5 را با نفوذ خارق العاده به شرکت نرم افزاری سولار ویندز (SolarWinds) که در دسامبر 2020 کشف شد، مقایسه کرده اند.

یادآوری یک نفوذ تاریخی

آن شرکت، که نرم افزار اوریون (Orion) آن برای نظارت بر شبکه استفاده می شد، پس از دستکاری کد منبع آن، نادانسته به سکوی پرتابی برای نفوذ به تعدادی از شبکه های بسیار حساس تبدیل شد.

قربانیان سولار ویندز

در آن عملیات جاسوسی گسترده، در نهایت حدود دوازده بخش دولتی مورد نفوذ قرار گرفتند.

نقش حیاتی اما پنهان F5 در زیرساخت شبکه

F5 نیز، درست مانند سولار ویندز که قبل از هک شدن در بازار مصرف کننده چندان شناخته شده نبود، مجموعه ای از تجهیزات و خدمات فنی حیاتی – مانند متعادل کننده های بار (load balancers)، شبکه های تحویل محتوا (CDN) و فایروال ها – را ارائه می دهد که معمولاً نقشی کم سر و صدا اما بسیار حیاتی در هدایت، مدیریت و فیلتر کردن ترافیک اینترنتی سازمان ها ایفا می کنند.

تحلیل کارشناسان: F5 در شبکه همه حضور دارد

مایکل سیکورسکی، مدیر ارشد فناوری در واحد 42 (Unit 42) شرکت پالو آلتو نتورکس (Palo Alto Networks) که بر اطلاعات تهدید متمرکز است، می گوید: «من این حمله را مستقیماً با حمله سولار ویندز یکسان نمی دانم، اما آن را با این واقعیت مقایسه می کنم که مردم هرگز نام آن را نشنیده اند، اما (محصولات F5) در شبکه همه حضور دارد.»

گستره نفوذ: از بانک ها تا شرکت های حقوقی

او افزود: «وقتی ما در مورد 80 درصد از شرکت های فورچون 500 صحبت می کنیم، در مورد بانک ها، شرکت های حقوقی، شرکت های فناوری و هر آنچه فکرش را بکنید، صحبت می کنیم.»

خطر استفاده از کد منبع سرقتی

سیکورسکی گفت که هکر های F5 کد منبع و اطلاعات آسیب پذیری های افشا نشده را به سرقت برده اند، که به طور بالقوه به آن ها این توانایی را می دهد که ابزار هایی برای جاسوسی سایبری در یک بازه زمانی کوتاه توسعه دهند.

شباهت ها و تفاوت ها با سولار ویندز

باب هوبر، مدیر ارشد امنیتی شرکت امنیت سایبری Tenable، نیز گفت که او هم در حالی که سعی می کرد بفهمد در F5 چه می گذرد، به یاد سولار ویندز افتاده است.

تفاوت کلیدی: عدم دستکاری در زنجیره تامین

او به رویترز گفت: «در حال حاضر، این [حمله] سولار ویندز نیست.» او اشاره کرد که F5 گفته است «هیچ شواهدی مبنی بر تغییر در زنجیره تامین نرم افزار ما» پیدا نکرده است. این یک تفاوت کلیدی با سولار ویندز است که در آن زنجیره تامین نرم افزار دستکاری شده بود.

نشانه های نگران کننده: انتظار برای اخبار بدتر

با این حال، هوبر گفت نشانه هایی وجود دارد که افشاگری های ناخوشایند بیشتری در پیش است. او به کمبود اطلاعات در مورد این نفوذ و همچنین فوریت و اضطراری که دولت برای اصلاح آن به خرج می دهد (از طریق یک دستورالعمل اضطراری در 15 اکتبر و یک هشدار عمومی مبنی بر اینکه شبکه های فدرال ناشناس توسط یک “عامل تهدید سایبری دولت-ملت” مورد هدف قرار گرفته اند) اشاره کرد.

در انتظار فاش شدن ابعاد دیگر فاجعه

او به صراحت گفت: «ما منتظریم که نیمه دیگر ماجرا (یا خبر بد بعدی) آشکار شود.»

فعالیت های مشکوک پیش از افشاگری

در حالی که هنوز هیچ قربانی دیگری از نفوذ F5 به طور عمومی شناسایی نشده است، شرکت امنیت سایبری Greynoise Intelligence، که فعالیت های اسکن و حمله در اینترنت را رصد می کند، نشانه هایی یافته است که یک عامل ناشناس جستجو برای دستگاه های F5 در اینترنت را از حدود یک ماه پیش آغاز کرده بود.

افزایش ناگهانی اسکن دستگاه های F5

به گفته گلن تورپ، مدیر ارشد تحقیقات امنیتی و مهندسی شناسایی در این شرکت، Greynoise جهش بزرگی را در فعالیت های اسکن متمرکز بر F5 از اواسط سپتامبر شناسایی کرده است.

آیا هکر ها از قبل مطلع بودند؟

تورپ در پایان گفت: «این [افزایش فعالیت] نشان می دهد که یک نفر در جایی، چیزی [درباره این آسیب پذیری] می دانسته است.»