پایگاه‌ داده‌های ناامن MongoDB همچنان قربانی می‌گیرد

پژوهشگران امنیتی درباره ادامه حملات علیه پایگاه‌ داده‌های ناامن MongoDB هشدار می‌دهند؛ حملاتی که در آن مهاجمان با دسترسی آزاد به سرورها، داده‌ها را پاک کرده و از مدیران سیستم باج می‌خواهند.

به گزارش افتانا، پایگاه‌داده‌های MongoDB که به‌صورت ناامن در اینترنت رها شده‌اند، همچنان هدف حملات اخاذی داده‌ای قرار می‌گیرند. در این حملات، مهاجمان با دسترسی خودکار به سرورهای بدون محافظت، داده‌ها را حذف می‌کنند و از صاحبان آن‌ها می‌خواهند برای بازگرداندن اطلاعات، مبلغی نسبتاً کم پرداخت کنند.

عامل این حملات تمرکز خود را روی ساده‌ترین اهداف گذاشته است؛ یعنی پایگاه‌داده‌هایی که به دلیل تنظیمات اشتباه، بدون هیچ محدودیتی در دسترس عموم قرار دارند. طبق بررسی‌ها، حدود ۱۴۰۰ سرور تاکنون قربانی این روش شده‌اند و در یادداشت‌های اخاذی، مبلغی در حدود ۵۰۰ دلار به‌صورت بیت‌کوین مطالبه شده است. چنین حملاتی پیش از این هم سابقه داشته‌اند. تا سال ۲۰۲۱ موج گسترده‌ای از حملات مشابه باعث حذف هزاران پایگاه‌داده MongoDB شد و در بسیاری از موارد مهاجمان برای بازگرداندن اطلاعات درخواست باج می‌کردند. گاهی هم بدون هیچ درخواست مالی، داده‌ها به‌طور کامل پاک می‌شدند.

پژوهشگران شرکت امنیت سایبری Flare در یک بررسی عملی نشان داده‌اند که این نوع حملات هنوز ادامه دارد، هرچند شدت آن نسبت به گذشته کمتر شده است. آن‌ها بیش از ۲۰۸ هزار سرور MongoDB را شناسایی کردند که به‌صورت عمومی در اینترنت قابل دسترس بودند. از این تعداد، حدود ۱۰۰ هزار سرور اطلاعات فنی و عملیاتی خود را افشا می‌کردند و بیش از ۳۱۰۰ مورد حتی بدون نیاز به احراز هویت قابل دسترسی بودند. بررسی این سرورها نشان داد نزدیک به نیمی از نمونه‌هایی که دسترسی آزاد داشتند، پیش‌تر مورد نفوذ قرار گرفته بودند. در این موارد، داده‌ها پاک شده و تنها یک پیام اخاذی در پایگاه‌داده باقی مانده بود. محتوای این پیام‌ها معمولاً یکسان است و از قربانی خواسته می‌شود ظرف ۴۸ ساعت مبلغ ۰٫۰۰۵ بیت‌کوین پرداخت کند. مهاجمان وعده می‌دهند پس از پرداخت، داده‌ها را بازگردانند، اما کارشناسان هشدار می‌دهند هیچ تضمینی وجود ندارد که اصلاً نسخه‌ای از داده‌ها در اختیار مهاجم باشد یا پس از پرداخت، اطلاعات واقعاً بازیابی شود. نکته قابل توجه این است که تقریباً تمام پیام‌های اخاذی به چند آدرس محدود کیف پول بیت‌کوین اشاره دارند و یکی از این آدرس‌ها در حدود ۹۸ درصد موارد تکرار شده است. این موضوع نشان می‌دهد که احتمالاً یک عامل تهدید واحد پشت بخش عمده این حملات قرار دارد.

پژوهشگران همچنین به سرورهایی اشاره می‌کنند که با وجود ناامن بودن و دسترسی عمومی، هنوز نشانه‌ای از حمله در آن‌ها دیده نمی‌شود. به باور آن‌ها، ممکن است برخی از این قربانیان پیش‌تر باج پرداخت کرده باشند.

علاوه بر مشکلات مربوط به احراز هویت، مشخص شده که حدود ۹۵ هزار سرور MongoDB در معرض اینترنت از نسخه‌های قدیمی استفاده می‌کنند که دارای آسیب‌پذیری‌های شناخته‌شده هستند. البته بیشتر این ضعف‌ها امکان ایجاد اختلال در سرویس را فراهم می‌کنند و معمولاً به نفوذ کامل یا اجرای کد از راه دور منجر نمی‌شوند.

در نهایت، Flare به مدیران سیستم توصیه می‌کند تا حد امکان پایگاه‌داده‌های MongoDB را در معرض اینترنت عمومی قرار ندهند، از احراز هویت قوی استفاده کنند، دسترسی‌ها را از طریق فایروال و سیاست‌های شبکه‌ای محدود کنند و تنظیمات را بدون بررسی از راهنماهای آماده کپی نکنند. همچنین به‌روزرسانی مداوم، پایش دائمی دسترسی‌ها و تغییر فوری رمزها در صورت شناسایی افشا، از اقدامات ضروری برای جلوگیری از این نوع حملات عنوان شده است.