اطلاعیه فوری مرکز ماهر در خصوص دیفیس وبسایت زرین پال و موارد مشابه

مطابق گزارش اپراتور سامانه مراقبت از رخداد #‫هک و #‫دیفیس مرکز ماهر در ساعت 20:15 روز جمعه، رخداد دیفیس سامانه درگاه پرداخت اینترنتی زرین پال به نام دامنه zarinpal.ir و آدرس IP: 91.239.55.245 مشاهده گردید. این موضوع در همان زمان به مالک درگاه اطلاع رسانی گردید. در این خصوص موارد زیر قابل ذکر است:
• بر اساس بررسی های صورت گرفته تا این لحظه و نیز ادعای قاطع مسئولین شرکت زرین پال، نفوذ تنها در سطح روتر میکروتیک این شرکت صورت گرفته و مهاجم پس از در اختیار گرفتن کنترل روتر، بازدید کنندگان وب سایت را به صفحه دیگری متعلق به خود مهاجم هدایت کرده و پیغام Deface را منتشر نموده است.
• محل فیزیکی استقرار تجهیزات از جمله این روتر،‌ دیتاسنتر آسیاتک در تهران بوده است. در این مورد مسئولیت نگهداری تجهیز با خود شرکت زرین‌پال بوده و مسئولیتی متوجه آسیاتک نبوده است.
• متاسفانه با توجه به reset factory نمودن تجهیز فوق جهت بازیابی رمز عبور توسط مالک درگاه امکان صحت سنجی قطعی شرکت مالک درگاه امکانپذیر نبوده است. شرکت آسیاتک نیز به دلیل عدم ذخیره سازی netflow‌ شبکه، در این خصوص نتوانسته کمکی ارائه کند. با اینحال لاگ‌های دیگر درحال تهیه است که ممکن است شواهد بیشتری ارائه کند.درخصوص این آسیب‌پذیری میکروتیک طی چند ماه گذشته ۳ بار توسط مرکز ماهر از طریق سایت، شبکه تعاملی و پیامک اطلاع رسانی شده است.

• در این خصوص پیشتر آدرس روترهای میکروتیک آسیب پذیر در کشور شناسایی شد و به تفکیک استانی در اختیار مراکز ICT استانی قرار گرفت. آدرس روتر این شرکت نیز به نام سامان سیستم پرداز کیش در میان روترهای آسیب پذیر بوده و با توجه به آدرس ثبت شده آن (در سایت Ripe.net) در جزیره کیش، اواسط هفته گذشته به مسئولین آن استان اطلاع رسانی شد.
• شمار دیگری از روترهای آسیب پذیر میکروتیک که مورد نفوذ قرار گرفته و درحال حمله به نقاط دیگر شبکه کشور هستند نیز شناسایی شده و هفته گذشته در اختیار شرکت های سرویس دهنده اینترنت قرار گرفته است. فهرست کل این IP ها در سامانه تعاملی نیز برای ۲۳۱۸ نفر از نمایندگان دستگاه‌ها در هفته گذشته ارسال شد.
لازم به ذکر است سایر موارد آسیب پذیر که تا کنون نسبت به بروزرسانی روترهای میکروتیک اقدام نکردند در معرض نفوذ قرار دارند که لازم است سریعا اقدامات پیشگیرانه صورت پذیرد.