Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

Кто-то стирает содержимое серверов HP с помощью руткита для iLO

При разборе деструктивных атак на иранские организации исследователи из ИБ-компании Amnpardaz обнаружили редкого зловреда — руткит для прошивки, заточенный под устройства управления HP iLO. Примечательно, что, несмотря на широкие возможности вредоноса, получившего кодовое имя iLOBleed, хакеры используют его только для уничтожения данных на серверных жестких дисках.

Встроенные средства управления и мониторинга HP iLO позволяют сисадмину подключаться к удаленным серверам (например, в ЦОД) и выполнять на них технические работы: обновлять прошивки и софт, переустанавливать ОС и т. п. Функциональность удаленного присутствия HPE обычно реализует на чипе (SoC на базе МП ARM) или дополнительной плате.

Встроенный iLO-модуль имеет собственный процессор, флеш-память для хранения прошивки, ОЗУ и сетевой интерфейс. Он работает под управлением проприетарной ОС и имеет полный доступ к серверному оборудованию, прошивке и установленным программам.

Вредонос iLOBleed впервые попал в поле зрения иранских экспертов в прошлом году и с тех пор засветился еще в нескольких атаках. Неизвестные хакеры взламывают серверы HPE и внедряют руткит, который добавляет свой модуль в прошивку iLO, выдавая его за легитимный (в Amnpardaz его детектируют как Implant.ARM.iLOBleed.a).

Зловред также модифицирует некоторые штатные модули iLO, чтобы воспрепятствовать обновлению прошивки и регистрации вредоносных действий на сервере. Он также пытается ввести в заблуждение админа, имитируя процесс обновления прошивки iLO и отображая неверную информацию о версии в веб-интерфейсе.

Подобный имплант способен обеспечить атакующим постоянное присутствие в целевой сети и предельно высокие привилегии в системе, однако злоумышленники почему-то этим не пользуются. Они предпочитают стирать диски на взломанных серверах, время от времени повторяя процедуру — видимо, чтобы внезапная переустановка ОС не расстроила их планы.

Каким образом происходит внедрение iLOBleed, пока неизвестно. Не исключено, что хакеры проникают в сети по другим каналам, а затем развертывают руткит в качестве бэкдора, используя некие уязвимости в прошивках iLO или расширяя доступ к инфицированному хосту до уровня iLO.

К сожалению, этот уровень обычно недоступен для антивирусных решений. Отключение зараженной машины от сети тоже не поможет избавиться от инфекции: iLO-модуль в таких случаях продолжает работать.

Подпишитесь на новости

Яндекс не успел продлить страховку ЦОДов от терактов до атак

К моменту октябрьских атак на дата-центры Яндекса страховое покрытие террористических рисков уже закончилось, а продлить его компания не успела. Теперь вопрос о возмещении ущерба остаётся открытым.

Об этом пишут «Ведомости» со ссылкой на трёх собеседников в страховых компаниях и брокере.

По их данным, часть инфраструктуры ранее страховали «Согаз» и «Ингосстрах». Размер покрытия не раскрывается. Яндекс и «Согаз» отказались от комментариев, «Ингосстрах» не ответил.

Источники допускают участие страховщиков в возмещении ущерба, но связывают это с отдельными договорённостями. Поэтому объявлять, что компания гарантированно не получит ничего, пока рано.

Однако даже действующий полис не закрыл бы все потери. Опрошенные страховщики объясняют: покрытие может распространяться на повреждённое имущество, а убытки от остановки бизнеса после атак остаются за его пределами.

По описанным в публикации условиям программы РНПК, страхование таких рисков ограничено шестью месяцами, лимит составляет 10 млрд рублей, франшиза — 50 млн. Простой из-за терроризма, диверсий и атак БПЛА не покрывается.

После атак дата-центры стали для страховщиков гораздо менее комфортными объектами: дорогое оборудование сосредоточено на небольшой площади, а один удар способен вывести из строя значительные мощности.

Получается неприятная арифметика, которая говорит о том, что резервировать нужно не только серверы, но и деньги на восстановление.

RSS: Новости на портале Anti-Malware.ru