مجموعة APT28 تخترق أجهزة التوجيه الضعيفة وتتلاعب بإعدادات DNS لسرقة بيانات الاعتماد

نشر المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) تفاصيل عن كيفية استغلال الجهة الروسية APT28 لأجهزة التوجيه في اختطاف DNS. ويقيّم المركز أن المجموعة هي على الأرجح بدرجة شبه مؤكدة الوحدة 26165 التابعة للاستخبارات العسكرية الروسية (GRU).

ما الذي تفعله الجهة المهاجمة

تستغل APT28 ثغرات في أجهزة توجيه، وأغلبها أجهزة المكاتب الصغيرة والمنازل، وتعيد كتابة إعدادات DNS ضمن DHCP لتشير إلى خوادم يملكها المهاجم. وترث الأجهزة المتصلة، كالحواسيب المحمولة والهواتف، هذه الإعدادات. فتُحلّ النطاقات المرتبطة بالبريد أو صفحات تسجيل الدخول إلى بنية تحتية للمهاجم، بينما تُحلّ بقية الطلبات إلى عناوينها الشرعية، مما يساعد على إخفاء النشاط.

ثم تحاول المجموعة تنفيذ هجمات الوسيط (AitM) على الاتصالات اللاحقة، في المتصفحات وتطبيقات سطح المكتب، لالتقاط كلمات المرور ورموز OAuth أو ما يشبهها. ويرجّح المركز أن الحملة انتهازية: تُرصد شريحة واسعة من المستخدمين أولاً ثم تُصفّى بحثاً عن ضحايا ذوي قيمة استخبارية محتملة.

من الأجهزة المستغلة TP-Link WR841N على الأرجح عبر CVE-2023-50224، وهي ثغرة تتيح لمهاجم غير مصادق الحصول على بيانات الاعتماد عبر طلبات HTTP GET مصممة خصيصاً. ثم يغيّر طلب ثانٍ إعدادات DNS. ويورد التقرير طرازات TP-Link أخرى كثيرة، كما شملت مجموعة بنية ثانية أجهزة MikroTik وTP-Link.

أهمية الأمر

قد تعيد أجهزة التوجيه في الفروع ومنازل الموظفين عن بُعد والمواقع الصغيرة توجيه حركة المصادقة بصمت، فتنكشف بيانات اعتماد البريد والخدمات. وينبه المركز إلى أن المؤشرات المحددة قابلة للتغير، لذا ينبغي الاعتماد على أساليب كشف أشمل لا على قوائم عناوين IP وحدها.

ومن توصيات المركز عدم تعريض واجهات الإدارة للإنترنت أبداً، وإبقاء الأجهزة والشبكات محدثة بتطبيق التحديثات الأمنية سريعاً، واستخدام أنظمة وبرمجيات حديثة.