گزارش‌های اخیر شرکت GreyNoise حاکی از آن است که یک گروه تهدید (Threat Actor) چینی در حال هدف قرار دادن سوئیچ‌های مدل ZyXEL GS1900 در سطح جهانی است تا اطلاعات حساس را استخراج کند.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی که با شناسه CVE-2026-7273 و امتیاز CVSS 8.8 ثبت شده است، از نوع Stack-based Buffer Overflow است. مهاجمان می‌توانند بدون نیاز به احراز هویت (Unauthenticated)، از طریق ارسال درخواست‌های HTTP دست‌کاری شده، دستورات سیستم‌عامل (OS Commands) را اجرا کنند.
تحلیل عملیات مهاجمان
بر اساس یافته‌ها، این گروه هکری در ماه اوت علیه دستگاه‌های ZyXEL در ۴۸ کشور مختلف فعالیت کرده است. آن‌ها از یک اسکریپت پایتون با سطح بالای Obfuscation برای استخراج اطلاعات حساس از ۹۹۶ دستگاه آسیب‌پذیر استفاده کرده‌اند. داده‌های استخراج شده شامل موارد زیر است:
- هش‌های مربوط به اعتبارنامه‌های Root (Hashed Root Credentials)
- جزئیات پیکربندی دستگاه (Configuration Details)
- اطلاعات شبکه (Networking Information)
نکته قابل توجه این است که در ۵۶۴ مورد از دستگاه‌های مورد حمله، اعتبارنامه‌ها همچنان روی حالت پیش‌فرض کارخانه (Factory Default) باقی مانده بود که دسترسی مهاجمان را برای حملات آتی تسهیل می‌کند.
ارتباط با گروه‌های دیگر و گستره حملات
تحلیلگران معتقدند این مهاجم احتمالاً همان گروه Red Heron است که پیش‌تر بهره‌برداری از آسیب‌پذیری Gitea را هدف قرار داده بود. همچنین گزارش شده است که این گروه از زنجیره‌ای از آسیب‌پذیری‌های Ubiquiti برای دستیابی به RCE و همچنین هدف قرار دادن نسخه‌های WordPress برای حمله به سازمان‌های دولتی و کسب‌وکارهای کوچک استفاده کرده است. یکی از شدیدترین موارد سرقت داده‌ها، مربوط به یک سازمان دولتی غربی است که بیش از ۱۸,۰۰۰ رکورد حساس از پایگاه داده Backend آن به سرقت رفته است.
توصیه‌های امنیتی
آژانس CISA این آسیب‌پذیری را به فهرست Known Exploited Vulnerabilities (KEV) اضافه کرده و سازمان‌ها را به به‌روزرسانی فوری تجهیزات ملزم نموده است. شرکت ZyXEL پیش از این در ماه ژوئن، آپدیت‌های امنیتی را برای ۱۰ مدل از سوئیچ‌های سری GS1900 منتشر کرده بود.
