预警：勒索软件攻击 HPE iLO 远程管理界面

攻击者现在盯上了可从互联网来访问的HPE iLO 4远程管理界面，据称加密硬盘，然后索要比特币，那样受害者才能拿回数据。虽然还无法百分之百确认硬盘是不是真的被加密，但我们确实知道自昨天以来，多名受害者已受到了这次攻击的影响。

HPE iLO 4（又叫HPE Integrated Lights-Out），它是内置于某些惠普服务器的管理解决方案，可让管理员远程管理设备。管理员可以使用Web浏览器或移动应用程序连接到iLO，管理员会看到一个登录页面，如下所示。

正常的HPE iLO 4登录页面

一旦登录进去，管理员可以访问日志、重启服务器、查看服务器信息及处理更多操作。不过一项更强大的功能是，能够访问服务器的远程控制台，因而全面访问当前可访问的操作系统外壳（shell）。由于这个原因，你绝不应该将iLO设备直接连接到互联网，而是要求完全通过安全的VPN来访问。

HPE iLO 4勒索软件

今天，安全研究人员M. Shahpasandi发布了HPE iLO 4登录屏幕的截图，登录屏幕上有一则“安全通告”，声明计算机的硬盘已加密，拥有者必须支付赎金才能拿回数据。

iLO 4勒索软件（图片来源：Twitter）

此安全通告是通过iLO 4 Login Security Banner（登录安全Banner）配置设置添加的。该设置位于管理- >安全- >登录安全Banner，如下所示。

登录安全Banner部分

攻击者添加的这个修改后的登录安全Banner声明如下：

目前还不知道这则通告是不是只是一种恐吓手段，好让受害者乖乖付款。不过从所使用的公共电子邮件地址来看，我们确实知道已有9名受害者联系过攻击者。这些电子邮件表明，受害者再也访问不了其数据，所以它们似乎已采用某种方式经过了加密。

据M. Shahpasan声称，攻击者要求将2个比特币发送到地址19ujGd4zqwoHitT2D1hF3BVf73vYVCvxcm，才能获得解密密钥。到目前为止，还没有谁将比特币打到这个地址。

索要2个比特币

发送到19ujGd4zqwoHitT2D1hF3BVf73vYVCvxcm

－M. Shahpasandi（@M_Shahpasandi）2018年4月25日

勒索函中值得关注的一个方面是，攻击者声称，除非受害者来自俄罗斯，否则赎金价格没得商量。这对于俄罗斯的攻击者来说很常见，他们在许多情况下试图避免感染俄罗斯受害者。

最后，这有没有可能只是诱饵/擦除软件，而不是真正的勒索软件攻击？勒索软件攻击通常为受害者提供一个独特的ID，以区别一名受害者和另一名受害者。这防止受害者“窃取”另一名受害者支付的赎金，用来解锁其计算机。

在诸如此类的情况下：没有提供独特的ID，电子邮件公开可以访问，这很可能表明其主要目的是擦除服务器的内容，或充当另一次攻击的诱饵。

HPE iLO 4绝不应该直接连接到互联网

将iLO 4之类的远程管理工具暴露在互联网面前从来不是件好事。只应该通过安全的VPN来访问这类工具，防止它们被互联网上的任何人扫描和访问。

如果旧版本中的已知漏洞让攻击者得以绕过身份验证、执行命令，并添加新的管理员帐户，那么将iLO暴露在公众面前带来的危险就更大了。钻这些漏洞空子的脚本也唾手可得。

找到连接的iLO界面同样轻而易举。在搜索引擎Shodan上快速搜索一下，就会发现5000多台iLO 4设备连接到互联网，其中许多设备使用已知易受攻击的版本。

如果你目前在惠普服务器中使用iLO 4，并运行旧版本，务必确保升级到最新固件。然后检查管理员帐户，查明有没有帐户是在你不知情的情况下创建的。最后但并非最不重要的一点是，确保你的iLO IP地址无法通过互联网来访问，只能通过VPN来访问。不然，你完全是自找麻烦。