{"id":203726,"date":"2018-04-26T13:36:35","date_gmt":"2018-04-26T11:36:35","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=203726"},"modified":"2023-04-24T00:24:50","modified_gmt":"2023-04-23T22:24:50","slug":"achtung-ransomware-zielt-auf-hpe-ilo-4","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2018\/04\/26\/achtung-ransomware-zielt-auf-hpe-ilo-4\/","title":{"rendered":"Achtung: Ransomware zielt auf HPE iLO 4!"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" align=\"left\" height=\"47\"\/>Kurzer Sicherheitshinweis an Administratoren, die ein per Internet erreichbares HPE Integrated Lights-Out 4 (HPE iLO 4) verwenden. Aktuell zielt Ransomware auf Schwachstellen in HPE iLO 4, und versucht Festplatten zu verschl\u00fcsseln.<\/p>\n<p><!--more--><\/p>\n<h2>Was ist HPE iLO 4?<\/h2>\n<p><img loading=\"lazy\" decoding=\"async\" alt=\"\" src=\"https:\/\/ssl-vg03.met.vgwort.de\/na\/61106db0f37740bcb297fc1ba8bbaf0c\" width=\"1\" height=\"1\"\/>Das K\u00fcrzel <a href=\"https:\/\/web.archive.org\/web\/20221110125243\/https:\/\/www.hpe.com\/de\/de\/servers\/integrated-lights-out-ilo.html\" target=\"_blank\" rel=\"noopener\">HPE iLO 4<\/a> steht f\u00fcr HP Enterprise Integrated Lights-Out Version 4 (inzwischen gibt es bereits die iLO 5). Es handelt sich um ein Management-Tool f\u00fcr bestimmte HP-Server. Die Software erm\u00f6glicht es Administratoren, den Server per Netzwerk\/Internet remote (aus der Ferne) zu verwalten. Administratoren k\u00f6nnen sich dazu \u00fcber einen Webbrowser oder eine mobile Anwendung mit dem iLO verbinden.<\/p>\n<p><img decoding=\"async\" title=\"HPE iLO\" alt=\"HPE iLO\" src=\"https:\/\/i.imgur.com\/WZsNNPQ.jpg\"\/><\/p>\n<h2>Angriff auf HPE iLO 4-Systeme<\/h2>\n<p>Bei Bleeping Computer findet sich <a href=\"https:\/\/www.bleepingcomputer.com\/news\/security\/ransomware-hits-hpe-ilo-remote-management-interfaces\/\" target=\"_blank\" rel=\"noopener\">die Info<\/a>, dass seit einigen Stunden Angriffe auf iLO 4-Systeme stattfinden, die per Internet erreichbar sind. Die Angreifer zielen auf internetf\u00e4hige HPE iLO 4 Remote-Management-Schnittstellen. Dort versuchen sie sich \u00fcber das Web-Interface der Anmeldeseite in das System zu hacken. <\/p>\n<p>Nach der Anmeldung kann ein Administrator auf Protokolle zugreifen, Server neu starten, Serverinformationen anzeigen und vieles mehr. Es gibt wohl auch die M\u00f6glichkeit, eine Remote-Konsole auf dem Server einzurichten. Diese bietet den vollen Zugriff auf die aktuell zug\u00e4ngliche Betriebssystem-Shell. Aus diesem Grund sollte ein iLO-Ger\u00e4t niemals direkt mit dem Internet verbunden werden. Ein Remotezugriff per Internet k\u00f6nnte \u00fcber ein sicheres VPN erfolgen.<\/p>\n<p>Angeblich sollen die Festplatten nach einem erfolgreichen Zugriff auf das Web-Interface verschl\u00fcsselt worden sein. Die Hacker fordern dann L\u00f6segeld in Form von Bitcoins, um den Opfern den Zugriff auf die verschl\u00fcsselten Daten zu gew\u00e4hren. Obwohl es nicht zu 100% best\u00e4tigt wurde, ob die Festplatten tats\u00e4chlich verschl\u00fcsselt wurden, gibt Bleeping Computer an, dass man seit dem 24. April von mehreren Opfern wisse. <\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"en\" dir=\"ltr\">HPE iLo 4 hit by <a href=\"https:\/\/twitter.com\/hashtag\/Ransomware?src=hash&amp;ref_src=twsrc%5Etfw\">#Ransomware<\/a><br \/>anyone seen this before?<a href=\"https:\/\/twitter.com\/malwrhunterteam?ref_src=twsrc%5Etfw\">@malwrhunterteam<\/a><a href=\"https:\/\/twitter.com\/demonslay335?ref_src=twsrc%5Etfw\">@demonslay335<\/a> <a href=\"https:\/\/twitter.com\/struppigel?ref_src=twsrc%5Etfw\">@struppigel<\/a> <a href=\"https:\/\/twitter.com\/leotpsc?ref_src=twsrc%5Etfw\">@leotpsc<\/a> <a href=\"https:\/\/t.co\/ATdAWUtW64\">pic.twitter.com\/ATdAWUtW64<\/a><\/p>\n<p>\u2014 M. Shahpasandi (@M_Shahpasandi) <a href=\"https:\/\/twitter.com\/M_Shahpasandi\/status\/989157283799162880?ref_src=twsrc%5Etfw\">25. April 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Bleeping Computer bezieht sich auf den obigen Tweet von Sicherheitsforscher M. Shahpasandi, der eine Meldung der Ransomware auf dem Webinterface gezeigt hat. In Antworten auf <a href=\"https:\/\/twitter.com\/M_Shahpasandi\/status\/989157283799162880\" target=\"_blank\" rel=\"noopener\">den Tweet<\/a> diskutieren Sicherheitsexperten das Thema. <\/p>\n<h2>Hack per Brute-Force-Angriff<\/h2>\n<p>Es scheint, dass die iLO 4-Zug\u00e4nge per Brute-Force-Angriff gehackt wurden. Dann wurde das Login-Bild ausgetauscht. Ob die Festplatte verschl\u00fcsselt wurde, ist aktuell unklar. Die Geschichte zeigt, dass HPE iLO 4-Zug\u00e4nge nicht per Internet erreichbar sein d\u00fcrfen. In einem Tweet gibt jemand den Tipp, was man zur Absicherung tun kann.<\/p>\n<blockquote class=\"twitter-tweet\" data-lang=\"de\">\n<p lang=\"en\" dir=\"ltr\">iLos are like enfeebled patient with no immune system.<br \/>Never put iLos, IPMI, LOMs, etc on the Internet.<br \/>Use a dedicated management network.<br \/>Use strong passwords.<br \/>Use jump boxes.<br \/>Patch firmware.<br \/>Collect logs and alerts.<br \/>React to what these tell you.<\/p>\n<p>\u2014 Nick Hutton (@nickdothutton) <a href=\"https:\/\/twitter.com\/nickdothutton\/status\/989179294801907712?ref_src=twsrc%5Etfw\">25. April 2018<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script> <\/p>\n<p>Scheinbar beherzigen viele Administratoren das nicht. \u00dcber Shodan werden wohl \u00fcber 5.000 HPE iLO 4-Systeme im Internet gefunden. Wenn dann noch schwache Kennw\u00f6rter verwendet wurden, steht einem Hack nichts mehr im Wege. <\/p>\n<p><strong>\u00c4hnliche Artikel:<\/strong><br \/><a href=\"https:\/\/borncity.com\/blog\/2018\/02\/26\/sicherheitslcke-in-hpe-integrated-lights-out-2-3-4\/\">Sicherheitsl\u00fccke in HPE Integrated Lights-out 2, 3, 4<\/a><br \/><a href=\"https:\/\/borncity.com\/blog\/2017\/08\/25\/sicherheitslcke-in-hpe-integrated-lights-out-4-ilo-4\/\">Sicherheitsl\u00fccke in HPE Integrated Lights-out 4 (iLO 4)<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Kurzer Sicherheitshinweis an Administratoren, die ein per Internet erreichbares HPE Integrated Lights-Out 4 (HPE iLO 4) verwenden. Aktuell zielt Ransomware auf Schwachstellen in HPE iLO 4, und versucht Festplatten zu verschl\u00fcsseln.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[4715,4328],"class_list":["post-203726","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-ransomware","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/203726","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=203726"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/203726\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=203726"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=203726"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=203726"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}