Asosiy ma’lumot
Celer Network vakillari 18-avgust kuni Pekin vaqti bilan 3:45 dan 6:00 gacha ayrim cBridge foydalanuvchilari zararli aqlli shartnomalarga yo‘naltirilganini ma’lum qildi. Dastlab cBridge’ning front-end interfeysi DNS hujumi tufayli buzib kirilgan deb taxmin qilindi.
Nomad, Wormhole, Ronin, Harmony va boshqa shu kabi avvalgi blokcheynlararo ko‘prik buzib kirilishi hodisalaridan tubdan farqli ravishda, bu hujum aqlli shartnomalar va blokcheynlararo protokollardagi xatolar yoki tegishli serverlarga kirib borish oqibatida yuz bermadi. cBridge’da qulflangan blokcheynlararo aktivlar ham xavfsiz saqlanib qoldi. Bu hujumda xakerlar Celer tizimidan tashqaridagi Internet arxitekturasining asosiy infratuzilmasini bevosita nishonga oldi va Internetning asosiy marshrutlash protokoli (BGP)ni aldash orqali blokcheynlararo foydalanuvchilarga ma’lum vaqt davomida «fishing» front-end foydalanuvchi interfeysidan foydalanish imkonini berdi. Celer Network tezkor javobi tufayli zararni cheklay oldi. Bunga sabab — Celer Network jamoasida 24 soat ishlaydigan monitoring tizimi mavjud. Ularning mijozlarga xizmat ko‘rsatish jamoasi muammoni aniqlab, hamjamiyatni o‘z vaqtida ogohlantira oldi. Celer Network jamoasi ushbu favqulodda vaziyatga javob berish va chuqur tekshiruv o‘tkazish uchun SlowMist xavfsizlik jamoasini jalb qildi.
Tahlil jarayoni
Celer Network jamoasi dastlab DNS hujumidan shubhalandi. Ular bilan bog‘langanimizdan so‘ng, muhokama qilinayotgan domen nomi haqida ko‘proq bilib oldik: cbridge-prod2.celer.network. Hujum vaqtida brauzer sertifikat xatosi haqida xabar bermaganini aniqladik. Shu bois tekshiruvimizni avval DNS hujumi ehtimolini o‘rganishdan boshladik. (DNS hujumi ehtimolini tezda tekshirishga yordam bergani uchun @greysign1 ga alohida rahmat)
Tegishli sertifikat ma’lumotlarini ko‘rib chiqishdan boshladik:
Sertifikat kutilmaganda o‘zgartirilganga o‘xshaydi: Let’s Encrypt bergan asl sertifikat GoGetSSL bergan soxta sertifikat bilan almashtirilgan.
GoGetSSL 90 kunlik bepul sertifikat berishi mumkin:
1-sertifikat tahlili: https://crt.sh/?id=7356185959
Sertifikatda quyidagi vaqtda CRL tekshiruvi xatosi ko‘rinadi:
2-sertifikat tahlili: https://crt.sh/?id=7356185959
Bu sertifikatda ham quyidagi vaqtlarda CRL tekshiruvi xatosi bor:
IP-manzil, sertifikat va 1-sertifikatga aloqador boshqa ma’lumotlarni tekshirib, ushbu sertifikatga bog‘langan IP-manzil 44.235.216.69 ekanini aniqladik.
2-sertifikatning IP-manziliga mos IP-manzilni so‘rov orqali aniqlab bo‘lmadi. Bunga hujum qisqa davom etgani va internet qidiruv tizimi tegishli ma’lumotlarni to‘play olmagani sabab bo‘lishi mumkin.
Natijada tahlilimizni cbridge-prod2.celer.network domeni uchun IP-manzilni aniqlash ma’lumotlariga qaratdik:
44.235.216.69 IP-manzili uzoq vaqt davomida cbridge-prod2.celer.network bilan bog‘liq bo‘lgan.
Savol shundan iborat: 44.235.216.69 IP-manzili uzoq vaqt davomida cbridge-prod2.celer.network bilan bog‘liq bo‘lgani uning rasmiy Celer Network serveriga tegishli ekanini isbotlaydi. Buni Celer Network jamoasi ham tasdiqladi. Unda nega bu IP-manzilga soxta sertifikat bog‘langan edi?
Shunday qilib, biz 44.235.216.69 IP-manzilining AS raqamini tekshira boshladik va bu IP-ga mos keladigan AS noodatiy ekanini aniqladik.
AS16509 bogonlarni e’lon qiladi:：
Bogonlarni ko‘rib chiqib, odatda tajovuzkor hujum uyushtirish uchun IP-manzilni soxtalashtiradigan holat ekanini aniqlashimiz mumkin: https://networkdirection.net/articles/routingandswitching/bgp-bogonsandmartians/ https://forum.networklessons.com/t/what-are-bogons/6333
44.235.216.69 manzilidagi AS’da anomaliyalar kuzatilgani uchun avval muammo BGP bilan bog‘liq deb taxmin qildik. Shu sababli tajovuzkorning IP-manzilini bilish uchun Celer Network jamoasiga murojaat qildik: 54.84.236.100. Bu IP-manzil joylashgan AS14618’da ham istisno holati borligini aniqladik. (AS14618 ham bogonlarni e’lon qiladi)
Qizig‘i shundaki, AS14618’ning yuqori oqimidagi AS AS16509 edi (44.235.216.69 joylashgan AS ham AS16509). Bu bizni BGP hujumi bo‘lishi mumkinligidan ogohlantirdi.
Tekshiruvimiz 54.84.236.100 IP-manzili zararli deb belgilanganini ko‘rsatdi.
Hamjamiyatimizdan 54.84.236.100 IP-manzili haqida tegishli ma’lumotlarni to‘pladik va bu IP-manzil 2014-yilda sodir bo‘lgan boshqa BGP hujumi bilan bog‘liqligi haqidagi ma’lumotni topdik. Biroq bu hodisa ancha oldin sodir bo‘lganligi sababli, u endi dolzarb bo‘lmasligi mumkin.
So‘ng bu BGP hujumidan qolgan qaydlarni kuzatib, tekshiruvimizni davom ettirdik:
Hujum IP-manzili 54.84.236.100 bo‘yicha BGP qaydlarini kuzatish natijasida marshrut endi mavjud emasligi aniqlandi.
Celer’ning 44.235.216.69 IP-manzili bo‘yicha BGP router izlarini kuzatishda davom etdik va to‘g‘ri marshrutni topdik.
So‘ng BGP tugunlarining o‘zgarishlar jurnalini tekshirdik: Pekin vaqti: 8/18/2022 2:48 AM — 8/18/2022 7:48 AM UTC+8
2022-yil 8/18 kuni soat 2:48 AM — 7:48 AM BST oralig‘ida tugunlarni qo‘shish va o‘chirish bo‘yicha ko‘plab o‘zgarish qaydlari borligi aniqlandi.
AS o‘zgarishlar jurnalini kuzatishda davom etib, AS14618 avval 44.235.216.0/24 marshrutlash ma’lumotiga ega bo‘lganini, biroq keyin marshrut Withdrawn holatiga o‘zgartirilganini aniqladik. Bu quyidagini isbotlaydi:
AS14618’dagi 44.235.216.0/24 avval eng maqbul marshrut bo‘lgan
Endi AS14618’dagi 44.235.216.0/24 eng maqbul marshrut emas; u Withdrawn holatida.
(BGP hujumi sodir bo‘lganda, tajovuzkor trafikni o‘z serveriga yo‘naltirish uchun eng maqbul marshrutni e’lon qiladi)
Aniqroq ma’lumot olish uchun hujum sodir bo‘lgan vaqt atrofida 44.235.216.69 bilan bog‘liq marshrutlardagi o‘zgarishlarni tekshirish uchun quyidagi bgplay’dan foydalandik.
2022-yil 8/17 kuni +UTC bo‘yicha 19:19:23 va 23:19:23 oralig‘ida BGP marshrutlash yo‘llari haqidagi ma’lumotlarda sezilarli tebranish bo‘lganini ko‘rishimiz mumkin.
Bu o‘zgarish hujumdan keyin 44.235.216.0/24 manzilidagi trafik AS14618’ga yo‘naltirilgani, so‘ng 44.235.216.0/24’dan kelgan trafik AS16509 orqali chiqib ketishida aks etadi.
Natijada, bu hodisa BGP hujumi bo‘lgan deb hisoblayapmiz. Unda AS14618 tajovuzkor nazorati ostidagi tugun bo‘lganga o‘xshaydi (AS14618 routerida xavfsizlik muammolari bo‘lishi va undan tajovuzkorlar foydalanishi mumkin). Hujum taxminan 4 soat davom etgan.
Tajovuzkor 1-sertifikatni (soxta sertifikatni) Celer Network’ning 44.235.216.69 IP-manziliga bog‘lay oldi, chunki unda xuddi shu IP-manzilga ega zararli server bor edi. gogetssl autentifikatsiya uchun http’ni qo‘llab-quvvatlagani sababli, tajovuzkor gogetssl taqdim etgan matnni shunchaki zararli serverga kiritishi mumkin edi. Shu tariqa, BGP hujumi orqali trafikni xuddi shu IP-manzildagi zararli serverga yo‘naltirib, 1-sertifikatni bog‘lash mumkin bo‘ldi. Natijada brauzer sertifikat xatosi haqida ogohlantirdi.
AS14618 tajovuzkor nazoratida bo‘lganini quyidagi sabablar asosida aniqladik.
Tajovuzkor dastlab 44.235.216.69 trafikini AS14618’ga yo‘naltirdi va hujumdan keyin 44.235.216.69’ni AS16509’ga qayta yo‘naltirdi.
Hujum IP-manzili 54.84.236.100 ham AS14618 ichida joylashgan.
Hujumdan so‘ng AS14618 44.235.216.69 bo‘yicha Withdrawn holatiga o‘tkazildi.
Bu savolga javob berish uchun: 44.235.216.69 IP-manzili uzoq vaqt davomida cbridge-prod2.celer.network bilan bog‘liq bo‘lgani, uning rasmiy Celer Network serveriga tegishli ekanini isbotlaydi. Buni Celer Network jamoasi ham tasdiqladi. Unda nega bu IP-manzilga soxta sertifikat bog‘langan edi?
Agar HTTPS protokoli orqali aloqa qilsangiz, sertifikatning yopiq kalitini qo‘lga kiritmasdan ma’lumotlarni (jumladan, mijoz va server o‘rtasidagi aloqa ma’lumotlarini) shifrlash yoki deshifrlash mumkin emas. Shuning uchun sertifikat to‘g‘ri ekaniga ishonch hosil qilish va o‘rtadagi odam hujumini amalga oshirish uchun tajovuzkor vakolatli organda rasmiylashtirilgan sertifikatni xuddi shu 44.235.216.69 IP-manziliga ega zararli serverga qayta bog‘lashi kerak. Bu tajovuzkorga mijoz ma’lumotlarini deshifrlash va javob paketidagi ma’lumotlarga zararli kod kiritish imkonini beradi.
Tahlil xulosasi
Bu hujumni Celer Network jamoasi bilan hamkorlikda tekshirdik. Bu Celer Network’ga qarshi puxta rejalashtirilgan BGP hujumi urinish bo‘lgan, tajovuzkor hujum vaqti, sertifikatni qalbakilashtirish, AS ustidan nazorat va boshqa amallarni oldindan tayyorlagan.
Oxir-oqibat, ko‘plab loyihalar BGP hujumlari bilan bog‘liq xavflardan allaqachon xabardor ekanini va tegishli ehtiyot choralarini ko‘rganini e’tirof etamiz. Biroq ko‘pchilik, ayniqsa AS o‘zgarishlari sababli yuzaga keladigan tarmoq yo‘nalishidagi o‘zgarishlar haqida hanuz xabardor emas. Yetarli tayyorgarlik va javob choralarisiz, ayni yoki boshqa tajovuzkorlar tomonidan yana hujumlar uyushtirilishi xavfi katta. Shu bois tashkilotlar, internet-provayderlar va server joylashtirish xizmatlarini ko‘rsatuvchilarni bunday xavflarni tan olishga hamda shunga o‘xshash hodisalar takrorlanmasligi uchun mudofaa strategiyalarini muvofiqlashtirishga chaqiramiz. Har doimgidek, yordam kerak bo‘lsa, SlowMist xavfsizlik jamoasiga murojaat qiling.
Ilova
cbridge-prod2.celer.network DNS diagrammasi:
