Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

При разборе деструктивных атак на иранские организации исследователи из ИБ-компании Amnpardaz обнаружили редкого зловреда — руткит для прошивки, заточенный под устройства управления HP iLO. Примечательно, что, несмотря на широкие возможности вредоноса, получившего кодовое имя iLOBleed, хакеры используют его только для уничтожения данных на серверных жестких дисках.

Встроенные средства управления и мониторинга HP iLO позволяют сисадмину подключаться к удаленным серверам (например, в ЦОД) и выполнять на них технические работы: обновлять прошивки и софт, переустанавливать ОС и т. п. Функциональность удаленного присутствия HPE обычно реализует на чипе (SoC на базе МП ARM) или дополнительной плате.

Встроенный iLO-модуль имеет собственный процессор, флеш-память для хранения прошивки, ОЗУ и сетевой интерфейс. Он работает под управлением проприетарной ОС и имеет полный доступ к серверному оборудованию, прошивке и установленным программам.

Вредонос iLOBleed впервые попал в поле зрения иранских экспертов в прошлом году и с тех пор засветился еще в нескольких атаках. Неизвестные хакеры взламывают серверы HPE и внедряют руткит, который добавляет свой модуль в прошивку iLO, выдавая его за легитимный (в Amnpardaz его детектируют как Implant.ARM.iLOBleed.a).

Зловред также модифицирует некоторые штатные модули iLO, чтобы воспрепятствовать обновлению прошивки и регистрации вредоносных действий на сервере. Он также пытается ввести в заблуждение админа, имитируя процесс обновления прошивки iLO и отображая неверную информацию о версии в веб-интерфейсе.

Подобный имплант способен обеспечить атакующим постоянное присутствие в целевой сети и предельно высокие привилегии в системе, однако злоумышленники почему-то этим не пользуются. Они предпочитают стирать диски на взломанных серверах, время от времени повторяя процедуру — видимо, чтобы внезапная переустановка ОС не расстроила их планы.

Каким образом происходит внедрение iLOBleed, пока неизвестно. Не исключено, что хакеры проникают в сети по другим каналам, а затем развертывают руткит в качестве бэкдора, используя некие уязвимости в прошивках iLO или расширяя доступ к инфицированному хосту до уровня iLO.

К сожалению, этот уровень обычно недоступен для антивирусных решений. Отключение зараженной машины от сети тоже не поможет избавиться от инфекции: iLO-модуль в таких случаях продолжает работать.

Жильцы вправе требовать от консьержей неразглашения данных

Первый заместитель председателя комитета Госдумы по строительству и ЖКХ Владимир Кошелев напомнил, что консьержи могут нести ответственность за разглашение информации о жильцах, вплоть до уголовной. Однако это возможно только в том случае, если требование о конфиденциальности прямо закреплено в их должностной инструкции.

Как пояснил депутат в комментарии ТАСС, жители дома могут включить такой пункт в инструкцию консьержа на общем собрании:

«Что касается беспокойства о приватности информации, которой обладает консьерж, то оно решается правилами, закрепленными в должностной инструкции, утвержденной общим собранием. В ней должен быть чётко прописан отдельный пункт о конфиденциальности — запрет на разглашение любой информации о жильцах и их гостях третьим лицам».

Если это требование будет нарушено, консьержа, как напомнил Владимир Кошелев, могут не только уволить, но и привлечь к уголовной ответственности по статье 137 УК РФ («Нарушение неприкосновенности частной жизни»).

Эта статья предусматривает штраф в размере дохода осуждённого за период до полутора лет, либо принудительные работы на срок до двух лет, либо лишение свободы на тот же срок. Если же противоправные действия были совершены с использованием служебного положения, ответственность становится строже.

Недавно по статье 137 УК РФ было передано в суд уголовное дело в отношении жительницы Алтайского края. По версии следствия, она пыталась собрать компрометирующую информацию на своего руководителя, установив диктофон в его служебном кабинете.

RSS: Новости на портале Anti-Malware.ru