Varias supercomputadoras europeas han sido hackeadas para minar criptodivisas - Actualizada

Archivado
Actualización: Fuentes oficiales del Centro Nacional de Supercomputación de Barcelona han señalado en respuesta a las preguntas de EOL que las instalaciones no se han visto afectadas y mantienen su actividad. De acuerdo con una portavoz, el BSC-CNS es consciente de los problemas en otros centros europeos y se está monitorizando la situación.

Noticia original: Varios centros de supercomputación en países europeos, dentro y fuera de la Unión, fueron víctimas la semana pasada de un ataque coordinado para poner a trabajar sus máquinas con un propósito ajeno al previsto por sus administradores: minar criptodivisas. Así lo señala una noticia en ZDNet, que recopila varios informes procedentes de Reino Unido, Alemania y Suiza, así como un comentario que señala una intrusión semejante en el Centro Nacional de Supercomputación de Barcelona.

El primer informe relacionado con una intrusión data del pasado lunes, cuando la supercomputadora ARCHER de la Universidad de Edinburgo fue apagada mientras sus administradores cambiaban las claves SSH. Poco después llegaron noticias desde Alemania, donde el organismo que coordina los proyectos de supercomputación del estado de Baden-Württemberg tomó los mismos pasos siguiendo "incidentes de seguridad" no concretados.

Gran parte de estos ataques han tenido lugar en Alemania, donde hay constancias en centros de supercomputación de las universidades de Stuttgart, Ulm, Tübingen y el Instituto de Tecnología de Karlsruhe y la Academia Bávara de las Ciencias las entre otras organizaciones.

Algunos expertos especularon al principio si los atacantes no estarían involucrados en el robo de secretos relacionados con la creación de una vacuna para el virus SARS-CoV-2, responsable de la COVID-19, pero finalmente no parece ser el caso.

Si bien ninguno de los centros de supercomputación ha dado detalles públicos sobre los incidentes de seguridad, el Equipo de Respuesta a Incidentes de Seguridad (CSIRT) del organismo que coordina los proyectos europeos de supercomputación ha proporcionado muestras de malware que han sido inspeccionadas por una firma de ciberseguridad estadounidense, Cado Security. Según sus hallazgos, los atacantes accedieron a los clusters de supercomputación usando credenciales SSH vulnerables pertenecientes a universidades en Polonia, Canadá y China.

ZDNet ha podido hablar con el máximo responsable de Cado Security, Chris Doman. Según el ejecutivo, una vez que los atacantes lograron acceder a los clusters lanzaron un exploit contra una vulnerabilidad ya conocida que les permitió ganar acceso raíz, y desde ahí activar una ejecutable con el que minar una criptodivisa (Monero, de forma más concreta). Dada la coordinación del ataque, todo apunta a un único actor (atacante individual o grupo organizado).

Si bien esta no es la primera vez que los centros de supercomputación se convierten en víctimas de ciberdelincuentes con ganas de explotar su potencial con fines económicos, la paralización de los clusters afectados tiene un efecto más negativo de lo que cabría suponer de una simple interrupción técnica, puesto que muchos de ellos estaban involucrados en la investigación del coronavirus.

Desde EOL nos hemos puesto en contacto con varias de las organizaciones afectadas ante la falta de información pública oficial. Actualizaremos la noticia si obtenemos respuesta.

Fuente: ZDNet
que cracks xD
Posei escribió:que cracks xD

O que hijos de puta, todo depende desde el punto de vista en que se mire xD.
Parece grave el asunto visto a lo que se dedicaban esos clústers.
Que hijos de puta, en plena pandemia y ala,, a parar las investigaciones sobre una vacuna/cura del COVID-19 [+furioso]
Lo de que le roben el certificado ssh a algunos usuarios es inevitable. Pero esas cuentas no deberian tener permisos de root asi que es tan facil como revocar certificados y punto.
Lo de que tengan el sistema con vulnerabilidades conocidas y encima criticas (escalado de permisos a nivel de root) sin parchear si ya me parece un cachondeo. Se supone que esos sistemas que costaron muchos miles de millones deberian tener gente que se dedica unica y exclusivamente a mantener los sistemas actualizados y seguros. O estos encargados son unos inutiles y merecen ser reemplazados ipso facto o no hay siquiera responsables encargados de ello (lo cual es aun mas grave si cabe) y en este caso habria que despedir a los responsables de esos sistemas.

Pero bueno, conociendo como funciona españa en general esto no es una situacion extraña, sino la norma general. He visto empresas con sistemas totalmente desactualizados desde hace 6 años porque no les merece la pena tener a una persona encargada de ello o incluso que no hay tiempo ni recursos para hacer migraciones programadas de los sistemas para actualizarlos y ponerlos al dia... en fin. Es un puto caos y hasta que pasa algo como esto no se echan las manos a la cabeza...
Recuerdo la visita guiada que hice en el MareNostrum hace 5 años, y cuando le pregunté al guía por qué no se dedicaban parte de los recursos a minar me puso mala cara y me dejó claro que ese no era el propósito de esa máquina [qmparto]
El halving ha terminado, ahora es cuando el bitcoin tira para arriba y claro... minar cada vez sale mas caro y hay que buscar "alternativas". Por cierto yo no se nada de esto y si me parece una putada.
jimi escribió:Lo de que le roben el certificado ssh a algunos usuarios es inevitable. Pero esas cuentas no deberian tener permisos de root asi que es tan facil como revocar certificados y punto.
Lo de que tengan el sistema con vulnerabilidades conocidas y encima criticas (escalado de permisos a nivel de root) sin parchear si ya me parece un cachondeo. Se supone que esos sistemas que costaron muchos miles de millones deberian tener gente que se dedica unica y exclusivamente a mantener los sistemas actualizados y seguros. O estos encargados son unos inutiles y merecen ser reemplazados ipso facto o no hay siquiera responsables encargados de ello (lo cual es aun mas grave si cabe) y en este caso habria que despedir a los responsables de esos sistemas.

Pero bueno, conociendo como funciona españa en general esto no es una situacion extraña, sino la norma general. He visto empresas con sistemas totalmente desactualizados desde hace 6 años porque no les merece la pena tener a una persona encargada de ello o incluso que no hay tiempo ni recursos para hacer migraciones programadas de los sistemas para actualizarlos y ponerlos al dia... en fin. Es un puto caos y hasta que pasa algo como esto no se echan las manos a la cabeza...


¿En España? Dirás en Europa, porque esto ha sido a nivel europeo, especialmente Alemán.
[facepalm]
Yo realmente, creo que hay mucho espionaje y robo de información por lo del coronavirus , y creo que lo de minar a sido como tapadera para robar información de las investigaciones que están haciendo en Alemania y España.

Cuando asesinaron hace poco al científico americano que estaba a punto de descubrir hallazgos importantes del Corona virus, allí se ha visto que hay mucho dinero y mano negra de fondo...

https://amp.elmundo.es/ciencia-y-salud/ ... b4620.html
Y como no se sabe quien ha sido, lo más inteligente ha sido llamar a una empresa de EUA para proporcionarle todo lo sucedido ¿? Osea confiar en un tercer país que no tiene nada que ver y que de confianza/credibilidad tiene cero. En temas de seguridad seguimos sin aprender.
Ahora se porque el cluster de alemania donde trabajo estaba cerrado al mundo.

jimi escribió:Lo de que le roben el certificado ssh a algunos usuarios es inevitable. Pero esas cuentas no deberian tener permisos de root asi que es tan facil como revocar certificados y punto.
Lo de que tengan el sistema con vulnerabilidades conocidas y encima criticas (escalado de permisos a nivel de root) sin parchear si ya me parece un cachondeo. Se supone que esos sistemas que costaron muchos miles de millones deberian tener gente que se dedica unica y exclusivamente a mantener los sistemas actualizados y seguros. O estos encargados son unos inutiles y merecen ser reemplazados ipso facto o no hay siquiera responsables encargados de ello (lo cual es aun mas grave si cabe) y en este caso habria que despedir a los responsables de esos sistemas.

Pero bueno, conociendo como funciona españa en general esto no es una situacion extraña, sino la norma general. He visto empresas con sistemas totalmente desactualizados desde hace 6 años porque no les merece la pena tener a una persona encargada de ello o incluso que no hay tiempo ni recursos para hacer migraciones programadas de los sistemas para actualizarlos y ponerlos al dia... en fin. Es un puto caos y hasta que pasa algo como esto no se echan las manos a la cabeza...
Poco entiendes de super ordenadores.

En parte te doy la razón, porque no debería ser de cajón que alguien accediera al super-usario desde una cuenta china, estas cosas deberían de mirarse con lupa siempre. Pero, muchas veces aplicar depende de que parches de seguridad requiere un apagado de la maquina, cosa que se intenta evitar por todas todas.
Vaya, pensaba que los de la UPC tendrían más nivel.
Menudo notición. :O
jimi escribió:Lo de que le roben el certificado ssh a algunos usuarios es inevitable. Pero esas cuentas no deberian tener permisos de root asi que es tan facil como revocar certificados y punto.
Lo de que tengan el sistema con vulnerabilidades conocidas y encima criticas (escalado de permisos a nivel de root) sin parchear si ya me parece un cachondeo. Se supone que esos sistemas que costaron muchos miles de millones deberian tener gente que se dedica unica y exclusivamente a mantener los sistemas actualizados y seguros. O estos encargados son unos inutiles y merecen ser reemplazados ipso facto o no hay siquiera responsables encargados de ello (lo cual es aun mas grave si cabe) y en este caso habria que despedir a los responsables de esos sistemas.

Pero bueno, conociendo como funciona españa en general esto no es una situacion extraña, sino la norma general. He visto empresas con sistemas totalmente desactualizados desde hace 6 años porque no les merece la pena tener a una persona encargada de ello o incluso que no hay tiempo ni recursos para hacer migraciones programadas de los sistemas para actualizarlos y ponerlos al dia... en fin. Es un puto caos y hasta que pasa algo como esto no se echan las manos a la cabeza...


Normalmente hay un periodo de tiempo entre actualizaciones en sistemas de producción. No puedes estar actualizando y por lo tanto parando/reiniciando servicios todos los días. Lo normal es fijar no se... Una vez al mes, una vez cada 20 días... También para que de tiempo a comprobar que los parches no rompen nada. No todo es tan fácil como parece en el mundo real...
Me parece un fallo de seguridad muy difícil de justificar, la verdad..... Desde la más pura ignorancia, ¿cómo es posible que unos centros de procesamiento que trabajan otorgando permisos de usuario a universidades y empresas de todo el mundo permitan que cualquiera con este tipo de acceso se cuele y haga lo que quiera? Es decir, si solo fuesen accesibles desde el propio edificio en el que se sitúan podría entenderlo ya que la seguridad podría centrarse en regular el acceso físico de los usuarios al edificio, pero si trabajan con usuarios conectándose desde cualquier parte del mundo...... en fin, parece que les han robado la cartera en toda la cara.

jimi escribió:Pero bueno, conociendo como funciona españa en general esto no es una situacion extraña, sino la norma general. He visto empresas con sistemas totalmente desactualizados desde hace 6 años porque no les merece la pena tener a una persona encargada de ello o incluso que no hay tiempo ni recursos para hacer migraciones programadas de los sistemas para actualizarlos y ponerlos al dia... en fin. Es un puto caos y hasta que pasa algo como esto no se echan las manos a la cabeza...


Pero.... ¿te has parado siquiera a leer la noticia?. La mayoría de centros afectados no están precisamente en España
HIJOS DE LA GRAN PUTA... Ojalá les hagan un trace back y les bloqueen la cuenta y los ingresos. [+furioso]
jimi escribió:Lo de que tengan el sistema con vulnerabilidades conocidas y encima criticas (escalado de permisos a nivel de root) sin parchear si ya me parece un cachondeo. Se supone que esos sistemas que costaron muchos miles de millones deberian tener gente que se dedica unica y exclusivamente a mantener los sistemas actualizados y seguros. O estos encargados son unos inutiles y merecen ser reemplazados ipso facto o no hay siquiera responsables encargados de ello (lo cual es aun mas grave si cabe) y en este caso habria que despedir a los responsables de esos sistemas.

En un cluster de HPC no siempre es posible actualizar en el momento que sale el parche: Los trabajos que se ejecutan en ellos pueden tardar varios días o semanas en completarse. Si el desarrollador ha sido medianamente inteligente, habra puesto algun tipo de checkpointing en su código, pero a veces no es así, y puedes mandar el trabajo a tomar por culo.
Luego tendrás que un drain del nodo para asegurarte de que no entran nuevos trabajos, aplicar el parche y rezar para no haber roto nada por el camino. Y luego repites con el resto de nodos del cluster.

Vamos, que no es tarea sencilla que se pueda hacer en 10 minutos :)
Alejo I escribió:Actualización: Fuentes oficiales del Centro Nacional de Supercomputación de Barcelona han señalado en respuesta a las preguntas de EOL que las instalaciones no se han visto afectadas y mantienen su actividad. De acuerdo con una portavoz, el BSC-CNS es consciente de los problemas en otros centros europeos y se está monitorizando la situación.


Habrá que creerse a pies juntillas la aclaración oficial, ya que al menos, se han tomado las molestias de contestar a vuestros correos. Pero no tengo claro que ninguna entidad de éste tipo admita una brecha en su seguridad, si no hay una filtración de terceros como ha pasado con los casos Alemanes. Es mala prensa que no atrae inversores, el BSC-CNS gasta más de 1 millón de euros en energía anuales(al menos, hace 7 años cuando hice la visita guiada, se preguntó por la eficiencia energética y éste es el dato que nos dieron al grupo) y no se pagan solos. De ahí que una de las principales empresas que trabajan con el Mare Nostrum, sea Repsol.
A ver si lo(s) pillan y les cae una buena, no solo una multa y un contrato en Google. [boma]
jimi escribió:Lo de que le roben el certificado ssh a algunos usuarios es inevitable. Pero esas cuentas no deberian tener permisos de root asi que es tan facil como revocar certificados y punto.
Lo de que tengan el sistema con vulnerabilidades conocidas y encima criticas (escalado de permisos a nivel de root) sin parchear si ya me parece un cachondeo. Se supone que esos sistemas que costaron muchos miles de millones deberian tener gente que se dedica unica y exclusivamente a mantener los sistemas actualizados y seguros. O estos encargados son unos inutiles y merecen ser reemplazados ipso facto o no hay siquiera responsables encargados de ello (lo cual es aun mas grave si cabe) y en este caso habria que despedir a los responsables de esos sistemas.

Pero bueno, conociendo como funciona españa en general esto no es una situacion extraña, sino la norma general. He visto empresas con sistemas totalmente desactualizados desde hace 6 años porque no les merece la pena tener a una persona encargada de ello o incluso que no hay tiempo ni recursos para hacer migraciones programadas de los sistemas para actualizarlos y ponerlos al dia... en fin. Es un puto caos y hasta que pasa algo como esto no se echan las manos a la cabeza...


Lo que dices tiene sentido, pero estos sistemas no siempre se pueden actualizar de una forma rápida y fácil. Normalmente los administradores de estos sitios (yo soy uno de ellos viviendo fuera de España) tienen una mentalidad conservadora sobre los parches y actualizaciones. En nuestro caso actualizamos solamente parches de seguridad y kernels de forma casi diaria, pero en centros anteriores donde he trabajado el proceso de actualización es largo y tedioso. No por culpa de la burocracia, sino porque las aplicaciones deben ser correctamente testeadas, a veces durante meses, antes de aplicar los parches. Sin contar que para la actualización de los kernels hace falta reiniciar máquinas que se suelen reiniciar una vez al año o menos. Algunas compañías de este tipo cobran por tiempo de ejecución. Un fallo en todos los sistemas puede hacer perder cientos de miles de dólares por minuto. Y créeme cuando te digo, que las pérdidas en producción por incompatibilidad de parches son muy muy comunes.

Otro problema que suele haber, como dices, es que hay máquinas que montó y configuró una persona que se fue de la empresa hace años y nadie se atreve a tocarla.

Sobre despedir a la gente responsable... habría que ver los motivos, claro. Pero un sitio de estos es un entramado de middleware que tiene que estar a veces abierto a internet, con el peligro que ello supone. Un zeroday puede ponerte el entorno patas arriba en media hora aunque tengas las cosas debidamente protegidas y actualizadas. A nosotros nunca nos ha pasado, pero estoy al tanto de este ataque porque ha afectado a otros sitios asociados al nuestro.

El principal problema de este ataque ha sido que los usuarios hackeados ya tenian privilegios para usar las granjas para minar. Así que con el certificado ssh ya tenían acceso a toda la granja.
kafkafx escribió:Lo que dices tiene sentido, pero estos sistemas no siempre se pueden actualizar de una forma rápida y fácil. Normalmente los administradores de estos sitios (yo soy uno de ellos viviendo fuera de España) tienen una mentalidad conservadora sobre los parches y actualizaciones. En nuestro caso actualizamos solamente parches de seguridad y kernels de forma casi diaria, pero en centros anteriores donde he trabajado el proceso de actualización es largo y tedioso. No por culpa de la burocracia, sino porque las aplicaciones deben ser correctamente testeadas, a veces durante meses, antes de aplicar los parches. Sin contar que para la actualización de los kernels hace falta reiniciar máquinas que se suelen reiniciar una vez al año o menos. Algunas compañías de este tipo cobran por tiempo de ejecución. Un fallo en todos los sistemas puede hacer perder cientos de miles de dólares por minuto. Y créeme cuando te digo, que las pérdidas en producción por incompatibilidad de parches son muy muy comunes.

Otro problema que suele haber, como dices, es que hay máquinas que montó y configuró una persona que se fue de la empresa hace años y nadie se atreve a tocarla.

Sobre despedir a la gente responsable... habría que ver los motivos, claro. Pero un sitio de estos es un entramado de middleware que tiene que estar a veces abierto a internet, con el peligro que ello supone. Un zeroday puede ponerte el entorno patas arriba en media hora aunque tengas las cosas debidamente protegidas y actualizadas. A nosotros nunca nos ha pasado, pero estoy al tanto de este ataque porque ha afectado a otros sitios asociados al nuestro.

El principal problema de este ataque ha sido que los usuarios hackeados ya tenian privilegios para usar las granjas para minar. Así que con el certificado ssh ya tenían acceso a toda la granja.


Muy interesante, gracias por darnos una visión "interna"; muchas veces tendemos a pensar que las cosas son de una forma cuando la realidad tiene poco o nada que ver con ello. Siempre es interesante ver la opinión de alguien que trabaja en el sector cuando salta alguna noticia del tipo que sea.
@CrowX Me alegra de que te interese. Respecto a tu pregunta anterior...

La verdad es que los sistemas son bastante seguros en nuestro caso. Digamos que falla en la confianza al usuario.

Los usuarios como persona física tienen pocos o ningún privilegio en los sistemas. Estos deben pertenecer a entidades que proveen certificados de seguridad para poder correr sus análisis. Ellos mandan sus análisis a través de portales y esos portales lo distribuyen a nuestros sistemas. Digamos que tú tienes que confiar en que los usuarios protejan sus credenciales y su certificado de forma eficiente, si cogen tu password hay pocas cosas que puedan hacer, pero si ademas saben el passphrase de tu certificado... es como si te roban la tarjeta del banco, el pin y tu DNI Hay formas de banearlos cuando éstos están haciendo algo indebido, pero por lo general estas máquinas corren miles de trabajos simultáneamente y suelen ser bastante opacos. Así que los administradores no sabemos mucho sobre lo que estas entidades están ejecutando. Además sería muy difícil y poco eficiente, ya que estos trabajos generan terabytes de datos en horas horas. Se suelen detectar porque suelen generar conexiones a tor o IPs chinas, conexiones p2p, intento de instalación de rootkits, etc.
Esta gente tiene mucha pasta, por no decir bien que la fabrica, en cuanto al virus, si la gente se cree que con esto van a investigar una cura.... la cura ya esta investigada, lo que pasa que no hay para tanta gente y las farmaceuticas quieren llenarse los bolsillos. Siempre ha sido así. Esta el señor de la guerra (armas) como el que esta el señor de la paz (farmacéutica).
kafkafx escribió:@CrowX Me alegra de que te interese. Respecto a tu pregunta anterior...

La verdad es que los sistemas son bastante seguros en nuestro caso. Digamos que falla en la confianza al usuario.

Los usuarios como persona física tienen pocos o ningún privilegio en los sistemas. Estos deben pertenecer a entidades que proveen certificados de seguridad para poder correr sus análisis. Ellos mandan sus análisis a través de portales y esos portales lo distribuyen a nuestros sistemas. Digamos que tú tienes que confiar en que los usuarios protejan sus credenciales y su certificado de forma eficiente, si cogen tu password hay pocas cosas que puedan hacer, pero si ademas saben el passphrase de tu certificado... es como si te roban la tarjeta del banco, el pin y tu DNI Hay formas de banearlos cuando éstos están haciendo algo indebido, pero por lo general estas máquinas corren miles de trabajos simultáneamente y suelen ser bastante opacos. Así que los administradores no sabemos mucho sobre lo que estas entidades están ejecutando. Además sería muy difícil y poco eficiente, ya que estos trabajos generan terabytes de datos en horas horas. Se suelen detectar porque suelen generar conexiones a tor o IPs chinas, conexiones p2p, intento de instalación de rootkits, etc.


Ya veo, debe ser muy muy difícil o imposible analizar en tiempo real semejante flujo de datos. Al final se cumple la máxima de que, por muchas barreras que pongas, una vez conectas con la red estás expuesto.

Ahora solo queda esperar que se subsane el fallo para evitar que se pueda repetir e intentar atrapar a los responsables. Supongo que al ser credenciales (supuestamente) robadas será complicado dar con el autor real, pero quizás si que pueda hacerse algo con respecto a lo que hayan conseguido minar.... no lo se, también soy totalmente ignorante sobre este tema.
pues menudas "super computadoras" que con computadoras normales, se pueden hackear. [+risas]
superfenix2020 escribió:pues menudas "super computadoras" que con computadoras normales, se pueden hackear. [+risas]


[carcajad] Bueno, lo de super es más por el tamaño de los recursos que por lo seguras. De hecho hoy en día no hay muchas cosas que no sean hackeables, solo hay cosas que no despiertan el interés suficiente como para que alguien se proponga hackearlas.

Con el creciente interés por el minado de crypto todo estos centros de datos están siempre en la mira. Nosotros recibimos más de 10000 escaneos diarios. Es algo constante.
Pero ahi corre el crisis al maximo?
kafkafx escribió:
jimi escribió:Lo de que le roben el certificado ssh a algunos usuarios es inevitable. Pero esas cuentas no deberian tener permisos de root asi que es tan facil como revocar certificados y punto.
Lo de que tengan el sistema con vulnerabilidades conocidas y encima criticas (escalado de permisos a nivel de root) sin parchear si ya me parece un cachondeo. Se supone que esos sistemas que costaron muchos miles de millones deberian tener gente que se dedica unica y exclusivamente a mantener los sistemas actualizados y seguros. O estos encargados son unos inutiles y merecen ser reemplazados ipso facto o no hay siquiera responsables encargados de ello (lo cual es aun mas grave si cabe) y en este caso habria que despedir a los responsables de esos sistemas.

Pero bueno, conociendo como funciona españa en general esto no es una situacion extraña, sino la norma general. He visto empresas con sistemas totalmente desactualizados desde hace 6 años porque no les merece la pena tener a una persona encargada de ello o incluso que no hay tiempo ni recursos para hacer migraciones programadas de los sistemas para actualizarlos y ponerlos al dia... en fin. Es un puto caos y hasta que pasa algo como esto no se echan las manos a la cabeza...


Lo que dices tiene sentido, pero estos sistemas no siempre se pueden actualizar de una forma rápida y fácil. Normalmente los administradores de estos sitios (yo soy uno de ellos viviendo fuera de España) tienen una mentalidad conservadora sobre los parches y actualizaciones. En nuestro caso actualizamos solamente parches de seguridad y kernels de forma casi diaria, pero en centros anteriores donde he trabajado el proceso de actualización es largo y tedioso. No por culpa de la burocracia, sino porque las aplicaciones deben ser correctamente testeadas, a veces durante meses, antes de aplicar los parches. Sin contar que para la actualización de los kernels hace falta reiniciar máquinas que se suelen reiniciar una vez al año o menos. Algunas compañías de este tipo cobran por tiempo de ejecución. Un fallo en todos los sistemas puede hacer perder cientos de miles de dólares por minuto. Y créeme cuando te digo, que las pérdidas en producción por incompatibilidad de parches son muy muy comunes.

Otro problema que suele haber, como dices, es que hay máquinas que montó y configuró una persona que se fue de la empresa hace años y nadie se atreve a tocarla.

Sobre despedir a la gente responsable... habría que ver los motivos, claro. Pero un sitio de estos es un entramado de middleware que tiene que estar a veces abierto a internet, con el peligro que ello supone. Un zeroday puede ponerte el entorno patas arriba en media hora aunque tengas las cosas debidamente protegidas y actualizadas. A nosotros nunca nos ha pasado, pero estoy al tanto de este ataque porque ha afectado a otros sitios asociados al nuestro.

El principal problema de este ataque ha sido que los usuarios hackeados ya tenian privilegios para usar las granjas para minar. Así que con el certificado ssh ya tenían acceso a toda la granja.

Entiendo perfectamente que parar esos sistemas cuesta dinero, pero cuando se publiquen vulnerabilidades criticas no puedes permitirte el lujo de esperar 1 mes. Y yo creo que un escalado de usuario normal a root lo es.
Y tambien entiendo lo de que el que empezo el trabajo seguramente ya no este trabajando a dia de hoy en la empresa (de hecho es lo comun) y nadie quiera tocar mientras funcione...
Pero si las cosas se hacen bien todo deberia estar documentado y cualquier persona deberia poder llegar y saber donde esta todo y como esta todo. Tambien entiendo que en la realidad todo eso cuesta tiempo y dinero y se pasa bastante de ello, pero bueno asi luego aparecen estos problemas.

Un compromiso de nivel de usuario el daño es muchisimo menor, lo que me preocupa es ese acceso a root por una vulnerabilidad del que hablan. Una acceso a root puede traer muchos problemas, porque hay que saber con exactitud que han tocado y corregirlo y con root puedes tocar lo que quieras... es un problema muchisimo mas gordo que que se compromentan unas cuentas de usuario (que pasa a diario, y mas sabiendo el cuidado que tiene mucha gente que usa esas cuentas vamos...).
@jimi Bueno. Yo no conozco tan bien la parte de archer, pero si he conocido mejor la parte de Polonia porque he visto los análisis. Pero te puedo decir que estos equipos se suelen llevar la peor parte porque a menudo tienen drivers, módulos de kernel o partes de middleware que se tienen que recompilar y adaptar con cada actualización de kernel.

A veces el soporte del vendedor llega hasta cierto punto. O a veces son módulos o trabajos que se hacen una vez y no funcionan con ningún otro kernel o versiones de drivers, etc (dependiendo de lo que sea). Como todo esto se mantiene a base dinero de subvenciones no siempre puedes mantener a equipos que se encarguen de mantener todos los aspectos del sistema. Al final tienes que mantener una proporción porque esto al fin y al cabo es un negocio. No puedes gastar más en seguridad que lo que cuesta lo que quieres proteger.

Hay muchas cosas que serían ideales, pero también se necesitaría 10 veces más dinero para llevarlo a cabo.
kafkafx escribió:@jimi Bueno. Yo no conozco tan bien la parte de archer, pero si he conocido mejor la parte de Polonia porque he visto los análisis. Pero te puedo decir que estos equipos se suelen llevar la peor parte porque a menudo tienen drivers, módulos de kernel o partes de middleware que se tienen que recompilar y adaptar con cada actualización de kernel.

A veces el soporte del vendedor llega hasta cierto punto. O a veces son módulos o trabajos que se hacen una vez y no funcionan con ningún otro kernel o versiones de drivers, etc (dependiendo de lo que sea). Como todo esto se mantiene a base dinero de subvenciones no siempre puedes mantener a equipos que se encarguen de mantener todos los aspectos del sistema. Al final tienes que mantener una proporción porque esto al fin y al cabo es un negocio. No puedes gastar más en seguridad que lo que cuesta lo que quieres proteger.

Hay muchas cosas que serían ideales, pero también se necesitaría 10 veces más dinero para llevarlo a cabo.

Ya, el problema es que el sistema a base de subvenciones y contratos publicos no funciona bien en cuanto a desarrolo de software. El software necesita un mantenimiento y debe ser continuo (sobretodo si esta conectado a la red).

Pero bueno lo que deberian entender los responsables es que no puedes dejar una vulnerabilidad critica en el sistema que de acceso al root, porque te estas cargando lo mas basico de la seguridad del sistema. Si no hay parche o no hay tiempo para parchear lo que se suele hacer muchas veces es mitigar el problema, deshabilitar servicios que son vulnerables temporalmente (si es que es posible) o hacer las modificaciones al codigo fuente de la version actual solucionando el problema sin tener que actualizar de version el kernel o el servicio afectado. Gracias a dios el kernel y los servicios suelen ser de codigo abierto.
En la mayoria de los casos no es mas caro mantener el sistema actualizado que perder datos sensibles o tener que poner en pie otra vez el sistema en caso de acceso no autorizado, a parte de tener durante dias el sistema parado ;).
@Alejo I Lo único que avisan en la intranet es que se cambie la contraseña, pero no indican nada mas.

Imagen
Pensaba que estas supercomputadoras tambien tenian autentificacion de dos pasos para evitar este tipo de problemas.

Yo soy usuario diario de Cori (NERSC) y Summit (Oak Ridge) en los EEUU y funcionan asi. Para NERSC puedo usar google authenticator pero para Summit me dieron una "llave" fisica con una combinacion de numeros que cambia cada 30 segundos. Asi que si me hackeasen mi ordenador nunca podrian entrar en el sistema. Para el que no lo haya visto nunca es algo asi:

Imagen
Alguno se debe de pensar que actualizar una supercomputadora con miles de nodos es como hacer un apt upgrade o darle al windows update.

La superficie de ataque es inmensa, y muchos de estos ordenadores tienen instaladas miles de librerías para dar soporte a los cálculos científicos. Cada actualización se planifica al detalle y no se actualiza todo de golpe, sino que se hace por secciones.
654321 escribió:Que hijos de puta, en plena pandemia y ala,, a parar las investigaciones sobre una vacuna/cura del COVID-19 [+furioso]

Caeras como primer sospechoso, [boing]
En internet no hay nada seguro
Pero por curiosidad, no es posible que alguno en su casa se conecte con un pc algo mas fragil tecnicamente por cuestiones de teletrabajo??, porque en nuestra empresa sin tener superordenadores no hay nadie en las oficinas, faltan 300 trabajadores que no estan en su sitio, si no en su casa, entiendo que no han entrado con admin1234 pass1234, es que algunos parece que esto de entrar en supercomputadoras sea acceder al router de telefonica, y nada mas lejos de la realidad, yo como trabajador solo tengo accesos a unos datos del server de mi empresa, y fulanito a otros datos, capado MAC, y cosas que se me escapan pues no soy una eminencia en estos temas, pero decir que estos sitios carecen de mantenimiento es ser poco mas que un inculto en el tema, tiene mantenimiento porque si no esto no se habria descubierto, y root solo estan los jefes de informatica y no estan ni en Barcelona, que para que te den acceso te tiras un mes, con cambios de clave cada 3 meses, y mil paridas.

La pena es todo ese tiempo perdido y gasto energetico.

saludos
35 respuestas
Archivado
Volver a Tecnología