Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

При разборе деструктивных атак на иранские организации исследователи из ИБ-компании Amnpardaz обнаружили редкого зловреда — руткит для прошивки, заточенный под устройства управления HP iLO. Примечательно, что, несмотря на широкие возможности вредоноса, получившего кодовое имя iLOBleed, хакеры используют его только для уничтожения данных на серверных жестких дисках.

Встроенные средства управления и мониторинга HP iLO позволяют сисадмину подключаться к удаленным серверам (например, в ЦОД) и выполнять на них технические работы: обновлять прошивки и софт, переустанавливать ОС и т. п. Функциональность удаленного присутствия HPE обычно реализует на чипе (SoC на базе МП ARM) или дополнительной плате.

Встроенный iLO-модуль имеет собственный процессор, флеш-память для хранения прошивки, ОЗУ и сетевой интерфейс. Он работает под управлением проприетарной ОС и имеет полный доступ к серверному оборудованию, прошивке и установленным программам.

Вредонос iLOBleed впервые попал в поле зрения иранских экспертов в прошлом году и с тех пор засветился еще в нескольких атаках. Неизвестные хакеры взламывают серверы HPE и внедряют руткит, который добавляет свой модуль в прошивку iLO, выдавая его за легитимный (в Amnpardaz его детектируют как Implant.ARM.iLOBleed.a).

Зловред также модифицирует некоторые штатные модули iLO, чтобы воспрепятствовать обновлению прошивки и регистрации вредоносных действий на сервере. Он также пытается ввести в заблуждение админа, имитируя процесс обновления прошивки iLO и отображая неверную информацию о версии в веб-интерфейсе.

Подобный имплант способен обеспечить атакующим постоянное присутствие в целевой сети и предельно высокие привилегии в системе, однако злоумышленники почему-то этим не пользуются. Они предпочитают стирать диски на взломанных серверах, время от времени повторяя процедуру — видимо, чтобы внезапная переустановка ОС не расстроила их планы.

Каким образом происходит внедрение iLOBleed, пока неизвестно. Не исключено, что хакеры проникают в сети по другим каналам, а затем развертывают руткит в качестве бэкдора, используя некие уязвимости в прошивках iLO или расширяя доступ к инфицированному хосту до уровня iLO.

К сожалению, этот уровень обычно недоступен для антивирусных решений. Отключение зараженной машины от сети тоже не поможет избавиться от инфекции: iLO-модуль в таких случаях продолжает работать.

UserGate SIEM получила сертификат ФСТЭК по 4-му уровню доверия

Система UserGate SIEM получила сертификат соответствия ФСТЭК России по 4-му уровню доверия к средствам технической защиты информации. Это подтверждает, что платформа для мониторинга событий безопасности, анализа данных и реагирования на инциденты соответствует требованиям регулятора.

Сертификация важна для организаций, которым необходимо использовать сертифицированные средства защиты информации.

Речь, в частности, о компаниях из финансового сектора, промышленности, нефтегаза, здравоохранения, сферы критической информационной инфраструктуры, а также о государственных организациях.

UserGate SIEM, или uSIEM, предназначена для сбора и анализа событий информационной безопасности. Система помогает отслеживать подозрительную активность, выявлять угрозы и реагировать на инциденты. После получения сертификата решение можно применять в инфраструктурах, где действуют регуляторные требования к использованию сертифицированных СЗИ.

В компании отмечают, что сертификация проходила не только как формальная процедура включения продукта в перечень средств защиты. По словам менеджера по развитию uSIEM Дмитрия Чеботарёва, система прошла полный цикл испытаний в аккредитованной лаборатории. Проверялись, в том числе, работа под нагрузкой, корректность выявления инцидентов и безопасность хранения чувствительных журналов.

uSIEM входит в продуктовую систему UserGate SUMMA и может использоваться вместе с другими решениями вендора, включая UserGate NGFW. При этом система открыта для интеграции с инфраструктурой заказчика и может применяться не только действующими клиентами UserGate, но и новыми организациями.

Для рынка это означает ещё один сертифицированный вариант SIEM-системы, который можно использовать в проектах с повышенными требованиями к информационной безопасности и регуляторному соответствию.

RSS: Новости на портале Anti-Malware.ru