Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

При разборе деструктивных атак на иранские организации исследователи из ИБ-компании Amnpardaz обнаружили редкого зловреда — руткит для прошивки, заточенный под устройства управления HP iLO. Примечательно, что, несмотря на широкие возможности вредоноса, получившего кодовое имя iLOBleed, хакеры используют его только для уничтожения данных на серверных жестких дисках.

Встроенные средства управления и мониторинга HP iLO позволяют сисадмину подключаться к удаленным серверам (например, в ЦОД) и выполнять на них технические работы: обновлять прошивки и софт, переустанавливать ОС и т. п. Функциональность удаленного присутствия HPE обычно реализует на чипе (SoC на базе МП ARM) или дополнительной плате.

Встроенный iLO-модуль имеет собственный процессор, флеш-память для хранения прошивки, ОЗУ и сетевой интерфейс. Он работает под управлением проприетарной ОС и имеет полный доступ к серверному оборудованию, прошивке и установленным программам.

Вредонос iLOBleed впервые попал в поле зрения иранских экспертов в прошлом году и с тех пор засветился еще в нескольких атаках. Неизвестные хакеры взламывают серверы HPE и внедряют руткит, который добавляет свой модуль в прошивку iLO, выдавая его за легитимный (в Amnpardaz его детектируют как Implant.ARM.iLOBleed.a).

Зловред также модифицирует некоторые штатные модули iLO, чтобы воспрепятствовать обновлению прошивки и регистрации вредоносных действий на сервере. Он также пытается ввести в заблуждение админа, имитируя процесс обновления прошивки iLO и отображая неверную информацию о версии в веб-интерфейсе.

Подобный имплант способен обеспечить атакующим постоянное присутствие в целевой сети и предельно высокие привилегии в системе, однако злоумышленники почему-то этим не пользуются. Они предпочитают стирать диски на взломанных серверах, время от времени повторяя процедуру — видимо, чтобы внезапная переустановка ОС не расстроила их планы.

Каким образом происходит внедрение iLOBleed, пока неизвестно. Не исключено, что хакеры проникают в сети по другим каналам, а затем развертывают руткит в качестве бэкдора, используя некие уязвимости в прошивках iLO или расширяя доступ к инфицированному хосту до уровня iLO.

К сожалению, этот уровень обычно недоступен для антивирусных решений. Отключение зараженной машины от сети тоже не поможет избавиться от инфекции: iLO-модуль в таких случаях продолжает работать.

Провайдера в Петербурге оштрафовали за доступ к YouTube в обход ТСПУ

В Санкт-Петербурге суд оштрафовал интернет-провайдера ООО «Тинко» на 250 тысяч рублей за нарушение требований по пропуску трафика через технические средства противодействия угрозам, то есть ТСПУ. Речь идёт о решении мирового судьи судебного участка №178.

Как пояснила руководитель объединённой пресс-службы судов Петербурга Дарья Лебедева, нарушение зафиксировали ещё 7 декабря 2025 года во время мониторинга сети провайдера.

По материалам дела, в сети «Тинко» был обнаружен доступ к YouTube, при этом соответствующие сессии на ТСПУ отсутствовали. Иначе говоря, трафик, который должен был проходить через установленную систему фильтрации и контроля, шёл в обход неё.

Проверку проводил Центр мониторинга и управления сетью связи общего пользования с использованием автоматизированной системы «Ревизор», а точнее модуля «Агент Ревизор». Как утверждается, всё оборудование на момент проверки работало штатно, однако система всё равно показала, что ресурс www.youtube.com в сети провайдера доступен, хотя прохождение трафика через ТСПУ не фиксировалось.

Именно это Роскомнадзор и расценил как нарушение требований закона «О связи». В итоге компанию привлекли к ответственности по ч. 1 ст. 13.42.1 КоАП РФ.

Представитель провайдера на судебное заседание не пришёл. Зато представитель управления Роскомнадзора по Северо-Западному федеральному округу в суде подчеркнула, что материалы мониторинга подтверждают факт прохождения трафика в обход ТСПУ.

Если говорить проще, история сводится к следующему: регулятор увидел, что доступ к YouTube у абонентов провайдера есть, а через обязательную инфраструктуру фильтрации этот трафик, по данным проверки, не проходил. Именно за это компания и получила штраф.

На фоне продолжающегося контроля интернет-трафика в России такие дела становятся всё более показательными: внимание регуляторов уже направлено не только на сами платформы и сервисы, но и на то, как именно провайдеры технически исполняют требования по маршрутизации и фильтрации трафика.

RSS: Новости на портале Anti-Malware.ru