اشکال با حداکثر شدت در ابزار برنامه نویسی OT که برای ارائه بدافزار لینوکس مورد سوء استفاده قرار می گیرد

مجرمان ناشناس از یک آسیب پذیری با حداکثر شدت در Node-RED، یک ابزار برنامه نویسی مبتنی بر جریان که به طور گسترده در زیرساخت های حیاتی استفاده می شود، برای استقرار جریانی که یک ربات لینوکس را دانلود و اجرا می کند، سوء استفاده می کنند.

Node-RED معمولا برای اتوماسیون گردش کار در سیستم های کنترل صنعتی (ICS) و محیط های فناوری عملیاتی (OT) استفاده می شود. این بر روی Node.js ساخته شده است و در محصولات تجاری از جمله Siemens SIMATIC IoT2050 استفاده می شود. در ماه آگوست، زیمنس شناسه آسیب‌پذیری CVE-2026-58115 را برای توصیف باگ و توضیح رتبه‌بندی کامل 10 از 10 CVSS آن اختصاص داد.

دستگاه‌های زیمنس آسیب‌دیده احراز هویت را در رابط HTTP Node-RED اعمال نمی‌کنند، و اجازه می‌دهند تا به گره‌های برنامه‌نویسی که می‌توانند دستورات سیستم را بر روی دستگاه اجرا کنند، دسترسی غیرقانونی داشته باشند. این بدان معنی است که مهاجمان از راه دور تأیید نشده می توانند جریان های مخرب ایجاد کنند، چیزی که محققان VulnCheck از جمعه گذشته شروع به مستندسازی کردند.

پاتریک گاریتی، محقق VulnCheck، در توصیه‌ای روز دوشنبه هشدار داد: «در 30 اکتبر 2026، یکی از قناری‌های ما مهاجمی را گرفتار کرد که از CVE-2026-58115 سوء استفاده می‌کرد».

یکی یک گره تزریقی است که پیامی را در یک برنامه زمانی یا یک بار در هنگام راه اندازی ارسال می کند. دومی، یک گره exec، می تواند دستورات پوسته را اجرا کند. گاریتی گفت: «یکی به دیگری سیم کشی کنید و جریان به محض استقرار دستوری را اجرا می کند، بدون هیچ گونه تعامل دیگری.

بعلاوه، این سوء استفاده‌ها زمانی اتفاق می‌افتد که مجرمان به طور فزاینده‌ای به دنبال هدف قرار دادن دستگاه‌های OT و ICS در معرض اینترنت هستند و به حملات سایبری آن‌ها اجازه می‌دهند دنیای فیزیکی را تحت تأثیر قرار دهند و آسیب‌های زندگی واقعی را ایجاد کنند. نمونه موردی: هک کنترل کننده تبرید مداوم در سراسر اروپا و حملات به سیستم های آب در حداقل 12 ایالت ایالات متحده در طول تابستان.

فعالیت مشاهده شده توسط VulnCheck از یک آدرس IP منفرد، 4.201.105[.]116، که در شبکه AS8075 مایکروسافت قرار دارد و به برزیل مکان‌یابی می‌کند، آمده است. Garrity نوشت: "این فقط ما را اسکن نکرد، بلکه اکسپلویت کامل، جریان و قطره چکان را در یک POST /flows ارسال کرد."

در حالی که محققان هنوز چیزهای زیادی درباره این حملات نمی‌دانند - آنها یک اسکریپت باینری یا مرحله‌ای را برای تجزیه و تحلیل بازیابی نکرده‌اند - نام فایل، bot-linux-amd64، نشان می‌دهد که بدافزار لینوکس را که روی پردازنده‌های AMD64 اجرا می‌شود، هدف قرار می‌دهد. همچنین نشان می‌دهد که اپراتور بدافزار ممکن است ساخت‌های دیگری داشته باشد. گاریتی خاطرنشان کرد: «ما باینری را واکشی نکردیم، بنابراین نمی‌توانیم بگوییم که پس از اجرا چه می‌کند.

بین 30 اکتبر و 1 نوامبر، محققان دیدند که این آدرس IP همان آسیب‌پذیری Node-RED را 16 بار هدف قرار داده است و 125 ضربه را در برابر هشت CVE مختلف در سراسر شبکه قناری گسترده‌تر خود ثبت کرده است. در میان اهداف این حمله، یک نقص هفت ساله Apache Solr بود که به عنوان CVE-2019-17558 ردیابی شد - کاموندا، Gitea، MLflow، Traefik و Joomla، در کنار Node-RED. به گفته این محقق، همه این‌ها نشان‌دهنده «اسکن انبوه فرصت‌طلبانه به جای یک حمله هدفمند» است.

یکی از این بازدیدها بار متفاوتی را ارائه کرد که به یک سرور جداگانه اشاره دارد (85.215.73[.]250)، که VulnCheck اکنون آن را ردیابی می کند - اما هیچ تله متری دیگری به جز URL ندارد. گاریتی می‌نویسد: «از آنجایی که میزبان دانلود، ماشینی متفاوت از دستگاهی است که اکسپلویت را ارسال کرده است، راه‌اندازی احتمالی یک ترتیب اسکن و آلوده است: میزبان‌هایی که نمونه‌های آسیب‌پذیر را پیدا کرده و از آن‌ها بهره‌برداری می‌کنند، ایمپلنت را از یک سرور اختصاصی جداگانه می‌کشند.

گاریتی نوشت: ترکیب باگ‌های قدیمی و جدید در محصولات غیرمرتبط نشان‌دهنده «اسکن انبوه فرصت‌طلبانه به جای یک حمله هدفمند» است.

او در پستی در لینکدین اضافه کرد: «اگر Node-RED را در هر جایی اجرا می‌کنید، از جمله در محیط‌های OT، امروز بررسی کنید که آیا از خارج از شبکه شما قابل دسترسی است یا خیر، به‌روزرسانی‌ها را در صورت وجود اعمال کنید و تشخیص‌هایی را برای کاهش خطر بهره‌برداری اجرا کنید».

در حالی که این اشکال به کاتالوگ آسیب‌پذیری‌های مورد سوء استفاده شناخته شده (KEV) VulnCheck اضافه شده است، (تا زمان انتشار) در KEV آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده ظاهر نشده است.