تحليل طرواد شمعون النسخة الاولى التي ضربت ارامكو في عام 2012
تجربة الفايروس من احد المهندسين على السيرفر الوهمي لمعرفة مايتسبب به الفايروس
فعلياً ليس فايرس لكن هي برمجية تعمل الدخول في ملفات التشغيل في خلفية النظام والسيطرة على الكرنال بشكل كامل لفرض اوامر البرمجية بالبدأ في عملية التجسس وفي حال كشف البرمجية يقوم مستشعر البرنامج باعطاء امرلحذف بيانات الجهاز بشكل كامل وفوري والغاء اي تحكم على الجهاز من قبل المالك
هذ الانواع من الحصان الطروادة لايمكن زرعه عن بعد مالم يكن هناك ثغرة قوية تخول الشخص بالدخول على السيرفر اشبه بمستخدم administrator على سيرفرات الويندوز وهذ صعبه شوي بالنسبة لسيرفرات الويندوز لكن ليست مستحيلة
الا اذا حصل على اذن من داخل منطقة التحكم على السيرفرات اما بمعرفة اشخاص يعملون داخل غرفة السيرفرات او على نفس الشبكة المستضيفة للسيرفر المراد ضربه
بمعنى اخر البحث عن sup-path اي طريق فرعي داخل الشبكة التي يوجد فيها السيرفرات المراد ضربها
هنا في عدة حالات واحتمالات
الاولى
اما يكون شخص من الداخل متواطئ مع المخترقين وفتح ثغرات لهم بمعنى اخر تم عمل ثغرة عن طريق كومبيوتر داخل الشبكة !! لانه هناك داخل الشبكات الكبيرة في انظمة مختصة للشبكات مثل نظام الدومين الون او النطاق الداخلي لادارة ومراقبة الشبكة
اضف لذالك تصاريح الراوترات داخل الشبكة ومستوى الوصول بين كل راوتر وراوتر للوصول للسيرفرات
الثاني
اعطاء تصريح بدون قصد
وعندما نقول بدون قصد يعني تم استقبال ملف تروجان هورس دون علم الشخص لفعمل باك دور او بوابة خلفية تتيح للمخترق الدخول على الشبكة
الاحتمال الثالث
يكون عيب من الشركة او الطاقم اللي يدير السيرفرات لم يقم بسد الثغرات بشكل صحيح او تخاذل او تكاسل من قبل الشركة او ليس هناك عملية تحديث اول باول لنظام المشغل للسيرفر بشكل دوري لسد الثغرات
الاحتمال الرابع عدم وجود Firewall device جهاز جدار حماية على الشبكة تقوم بحماية شبكة السيرفرات و المشغلين في نفس الشبكة اقصد بالمشغلين مثل اقسام الصيانة والمراقبة وغيرها اي جهاز يكون على نفس الشبكة
اجهزة جدران الحماية مهمة بالنسبة لشركات استضافة السيرفرات الخاصة بالنت او الشركات اللي تمتلك سيرفراتها الخاصة في مقر الشركة
اكثر هذ الاجهزة يتم عمل اشتراك مع الشركة الام المصنعة للجهاز للحصول على التحديثات الامنية الازمة لغلق الثغرات في برمجيات المواقع الخارجية لكي لايحدث تسلل عن طريقها لداخل الشبكة عبر برمجيات في اكواد الاسكربتات
اما موضوع اختراق موقع وحذف بياناته لايمكن الدخول على السيرفر بدون معرفة بيانات السيرفر وان دخل لايمتلك صلاحية لوضع ملفات واعطاء امر تشغيل الملف على السيرفر لان نظام الخادم او الويب سيرفر ليس لديه صلاحية لتشغيل او قراءة امتدادات غير مخول او مصرح له بقراءتها مثال html - asp - php - xml-gcc وغيرها من الامتدادات لكن لايستطيع قراءة ملفات امتداد exe - bat وغيرها من الامتدادات المختصة بتشغيل البرامج
لذالك اتوقع بان تخم اختراق السيرفرات نفسها او تم وضع الفايروس من الداخل !!
عموماً هذ بعض الشركات اللي تم ضرب سيرفراتها
Scsb.gov.sa
سيرفره الدمام
الاي بي الخاص فيه
176.241.190.161
الشركة المزودة للخدمة
Nour Communication Co. Ltd
---------------------------
Taqa.com.sa
الرياض
الاي بي الخاص فيه
212.76.85.11
الشركة المزودة للخدمة
saharanet.com
--------------------------
ejada.com
الاي بي الخاص فيه
88.85.226.102
الشركة المزودة للخدمة
Nour Communication Co. Ltd
-------------------------
scsb.gov.sa
الاي بي الخاص فيه
176.241.190.161
الشركة المزودة للخدمة
Nour Communication Co. Ltd
-----------------------
وغيرها من المواقع اللي تم ضرب سيرفراتها كانت خارج السعودية بين بريطانيا وامريكا وغيرها
لكن اكثر المواقع اللي تم ضربها كلها بين موبايلي وصحاري وشركة نور هي صاحبة نصيب الاسد في الضربة اي شخص مبتدأ راح ينقب وراء شركة نور لانها حصلت على اكبر شريحة من المواقع اللي تم مهاجمتها اذا لم تكن تلك المواقع على سيرفر واحد في عدة سيرفرات في نفس الشركة اي شصخ راح يجي في باله مارجعة الحماية على السيرفرات والثغرات لو تم تحديثها والتأكد من سلامة خادم الويب ومايوجد فيه ثغرات من المؤكد ان التروجان جا من الداخل وهذ احتمال
موضوع المقسم الموحد وفائدته
حصر الدخول والخروج في الشبكة بمدخل ومخرج واحد بحيث يتم السيطرة على اي هجمات من خارج الشبكة وتوحيد الحماية او جدار حماية موحد على الشبكة عبر هذ الباب
لكن في مجمل الحال له ميزات كثيرة منها رقابة الشبكة والملفات بشكل اجمالي بكل المقايس حتى الفي بي ان او الشبكات الموجهة الخاصة اللي تربط الشركات ببعض من داخل المقسم الى خارج المقسم في اي مكان في العالم
لكن المشكلة الاكبر في حال حدوث فك ثغرة من داخل الجدار الموحد لايستطيع السيطرة على هذ الثغرة يعني الاختراق حاصل لا محال لانه حصل على تصاريح من داخل الشبكة
يعني احد اعطى تصاريح لاحد من الخارج للدخول والولوج
الا في حالة واحدة حجب الاي بي الداخلي اللي اعطى التصاريح
اتمنى اكون افدتكم
