Western digital
En Western Digital-utvecklare tog bort kod som skulle ha förhindrat förra veckans masstorkning av My Book Live-lagringsenheter, enligt en rapport från Ars Technica. En hackare utnyttjade denna kodändring, vilket troligen skulle störa en annan hackare som hade förvandlat några My Book Live-enheter till ett botnät.
Offren för förra veckans globala rensningshändelse klagade på att fabriksåterställningsverktyget på deras My Book Live-enheter borde vara lösenordsskyddat. Uppenbarligen var det så en gång. Men en utvecklare på Western Digital redigerade PHP-skriptet system_factory_restore för att blockera alla autentiseringskontroller. För att vara tydlig, tog den här utvecklaren inte bort autentiseringskontrollerna, utan lade helt enkelt till snedstreck före koden för att förhindra att den körs.
function get($urlPath, $queryParams=null, $ouputFormat='xml'){ // if(!authenticateAsOwner($queryParams)) // { // header("HTTP/1.0 401 Unauthorized"); // return; // }
I ett samtal med Ars Technica uttalade säkerhetsexpert och VD för Rumble HD Moore att "leverantören som kommenterar autentiseringen i systemåterställningsslutpunkten verkligen inte får saker att se bra ut för dem… Det är som att de avsiktligt aktiverade bypass." mer förödande är det faktum att denna hacker utlöste fabriksåterställningar med en XML-förfrågan, vilket skulle kräva förkunskaper om My Book Live-systemet eller enastående bra gissningar.
Men det är inte allt. De flesta enheter som drabbades av fabriksåterställningen hade redan fallit offer för ett hackningsförsök. I ett nyligen blogginlägg från Western Digital står det att hackare använde CVE-2018-18472, en tre år gammal exploatering, för att få full administrativ åtkomst över My Book Live-enheter. Denna exploatering låter hackare köra kommandon på hög nivå på enheter och visa eller ändra filer.
Intressant nog var CVE-2018-18472 lösenordsskyddad av en hackare. Western Digital säger att det användes för att spridas. nttpd,1-ppc-be-t1-z, en PowerPC skadlig kod som förvandlar enheter till ett Linux.Ngioweb botnät – i grunden en roterande proxytjänst som kan dölja cyberbrottslingars identiteter eller utnyttja DDoS-attacker.
Western Digital säger att de inte vet varför hackare skulle utnyttja CVE-2018-18472 och fabriksåterställa sårbarheter rygg mot rygg. Det verkar verkligen kontraintuitivt; varför skulle du i det tysta bygga ett botnät bara för att skapa en massiv skandal och tvinga My Book Live-användare att köpa en ny NAS-enhet?
Slutsatsen från Censys och Ars Technica verkar vara den mest rimliga – en hacker körde fabriksåterställningen för att sabotera det växande botnätet. Kanske är hackarna rivaler, även om det hela kunde ha varit en slump. Vem vet, kanske någon i en Discord-chatt eller ett forum har meddelat att My Book Live-enheter inte har uppdaterats sedan 2015, vilket ledde till att två hackare kör oberoende attacker inom samma tidsram.
Om du är en My Book Live-användare, koppla bort din enhet från internet och använd den aldrig som en fjärrlagringsenhet igen. Nyare NAS-enheter, inklusive de från Western Digital, har säkerhetsfunktioner som faktiskt är uppdaterade.
Källa: Ars Technica