قبل بضعة أيام ، حدثت واحدة من أخطر الاختراقات التي يمكن أن نتذكرها منذ سنوات ، حيث تم اختراق محركات الأقراص الصلبة الخارجية WD My Book Live مع إمكانية الوصول إلى الإنترنت ، وتم مسح بياناتها تمامًا. كانت محركات الأقراص الصلبة للشبكة (NAS) بدون تحديث منذ عام 2015 ، مما جعلها عرضة للخطر. ومع ذلك ، فإن القضية أكثر تعقيدًا ، حيث كانت القضية بسبب معركة بين المتسللين أدت إلى هذا الحذف.
في 23 يوليو ، بدأت حشود من مستخدمي WD في الشكوى من محو البيانات الموجودة على محركات الأقراص الثابتة الخاصة بهم. بمراجعة محفوظات المسح ، اكتشف البعض أن شخصًا ما قد نفذ أمرًا عن بُعد لإعادة تعيين جميع محتويات محركات الأقراص الثابتة ، دون طلب أي نوع من كلمات المرور للقيام بذلك.
بعد تحليل الحدث ، اكتشف الباحثون الأمنيون ثغرة في نظام استرداد الملفات ، حيث يقوم نص PHP بإعادة ضبط المصنع ويحذف جميع البيانات. تتطلب هذه الوظيفة عادةً إدخال كلمة مرور للتأكيد ، ولكن عند مراجعة الرمز ، وجدوا أن سطور الكود التي تطلب كلمة المرور تم التعليق عليها بـ // في البداية ، لذلك لم يتم تنفيذها.
هذا جزء من الثغرة الأمنية ، ولتنفيذها كان عليهم الاستفادة من جزء آخر متاح. كان من السهل على المتسللين الوصول إلى الثغرة الأمنية التي اكتشفها باحثان يدعى Paulos Yibelo و Daniel Eshetu في عام 2018 وتم تحديدها بالرمز CVE-2018-18472.
ومع ذلك ، نظرًا لأنهم لم يعودوا يدعمون هذه النماذج ، فلن يقوموا بتصحيحها أبدًا ، مما يسمح لأي مهاجم باكتشافها والاستفادة منها. للقيام بذلك ، يجب على المهاجم فقط معرفة عنوان IP الخاص بالجهاز المتأثر ، ومواصلة تنفيذ الكود عن بُعد.
ومن المثير للاهتمام ، أنه مع وجود الثغرة الأمنية CVE-2018-18472 ، كان لدى المهاجمين بالفعل وصول كامل إلى الجهاز ، ولم يكونوا بحاجة إلى الاستفادة من الثانية. النظرية الكامنة وراء ذلك هي أن المتسلل الأول استغل CVE-2018-18472 ، وحاول مخترق منافس لاحقًا تنفيذ الثغرة الأمنية الأخرى للسيطرة على الأجهزة الأخرى وجعلها جزءًا من الروبوتات التي تتحكم فيها.
في الواقع ، قام المتسلل الأول بتعديل ملف على محركات الأقراص الثابتة لوضع كلمة مرور مطابقة للتجزئة 56f650e16801d38f47bb0eeac39e21a8142d7da1 ، وهو في النص العادي p EFx3tQWoUbFc٪ B٪ R $ k @ استخدم أيضًا كلمات مرور أخرى على الأجهزة والملفات الأخرى كحماية في حالة حدوث مشكلات في WD تحديث قام بتصحيح الملف الأول الذي كان في خطر.
تم أيضًا إصابة بعض محركات الأقراص الثابتة التي تم اختراقها من خلال الثغرة الأمنية CVE-2018-18472 ببرامج ضارة تسمى .nttpd، 1-ppc-be-t1-z ، والتي تمت كتابتها للتشغيل على PowerPCs التي تستخدمها هذه الأجهزة. باستخدام هذه البرامج الضارة ، تصبح محركات الأقراص الثابتة لديك جزءًا من شبكة بوت نت تسمى Linux.Ngioweb ، يمكن من خلالها إطلاق هجمات DDoS.
لذلك فمن المنطقي أن المتسلل الثاني أراد السيطرة على الجهاز أو إبعاد ذلك المتسلل المنافس الأول ، وقام بتشغيل الأمر لإعادة ضبط محركات الأقراص الثابتة. بفضل هذا ، اكتشف المالكون أنه تم اختراقهم ، وإلا فقد يكونون قد سرقوا المزيد من البيانات من محركات الأقراص الثابتة هذه. لذلك ، من المهم جدًا فصل هذه الأجهزة عن الإنترنت واستخدامها كأقراص صلبة محلية. لا تتأثر أجهزة WD الأحدث بهذه العيوب ، لذا يمكن لأصحابها التنفس بسهولة.
