سناتور وایدن از FTC می‌خواهد مایکروسافت را به دلیل غفلت امنیت سایبری مرتبط با باج‌افزار تحقیق کند

سناتور آمریکایی رون وایدن از کمیسیون تجارت فدرال (FTC) خواسته است تا مایکروسافت را به دلیل آنچه او “غفلت فاحش امنیت سایبری” نامیده که منجر به حملات باج‌افزاری علیه زیرساخت‌های حیاتی آمریکا از جمله شبکه‌های بهداشتی شده، مورد بازرسی قرار دهد. وایدن در نامه‌ای چهار صفحه‌ای به رئیس FTC نوشت که “فرهنگ غفلت امنیت سایبری مایکروسافت همراه با انحصار عملی آن در بازار سیستم‌عامل‌های سازمانی، تهدیدی جدی برای امنیت ملی محسوب می‌شود و حملات بیشتر را اجتناب‌ناپذیر می‌کند.” این اقدام پس از آن صورت گرفت که دفتر وایدن اطلاعات جدیدی از سیستم بهداشتی Ascension دریافت کرد که سال گذشته هدف حمله باج‌افزاری فلج‌کننده‌ای قرار گرفت و منجر به سرقت اطلاعات شخصی و پزشکی نزدیک به ۵.۶ میلیون نفر شد.

بر اساس گزارش دفتر سناتور، این نقض امنیتی زمانی رخ داد که یک پیمانکار روی لینک مخربی کلیک کرد که پس از جستجو در موتور جستجوی Bing مایکروسافت یافته بود. سپس مهاجمان با استفاده از “تنظیمات پیش‌فرض خطرناک و ناامن” نرم‌افزار مایکروسافت، دسترسی بالا به حساس‌ترین بخش‌های شبکه Ascension را به دست آوردند. این حمله از تکنیکی به نام Kerberoasting استفاده کرد که پروتکل احراز هویت Kerberos را هدف قرار می‌دهد تا اعتبارنامه‌های رمزگذاری‌شده حساب‌های سرویس را از Active Directory استخراج کند. این تکنیک از فناوری رمزگذاری ناامن دهه ۱۹۸۰ به نام RC4 سوءاستفاده می‌کند که هنوز در پیکربندی پیش‌فرض نرم‌افزار مایکروسافت پشتیبانی می‌شود. مایکروسافت در پاسخ اعلام کرد که RC4 استاندارد قدیمی است و استفاده از آن را توصیه نمی‌کند، اما غیرفعال کردن کامل آن بسیاری از سیستم‌های مشتریان را مختل خواهد کرد.