Des pirates détournent des serveurs de Tesla pour faire du minage, Réactions à la publication du 21/02/2018

[Lionel]

RedLock a annoncé avoir découvert que des serveurs de Tesla hébergés sur Amazon AWS avaient été piratés.

Les pirates en ont pris le contrôle pour installer dessus des logiciels de minage de crypto-monnaie.

Il semble que les administrateurs de ces serveurs aient oublié de sécuriser l'accès au portail d'accès ce qui a laissé la porte grande ouverte.

On ignore les services et données que contenaient à l'origine ces serveurs et si les pirates en ont profité pour faire main basse dessus.

Lien vers le billet original

[_Panta]

A la question "comment sont ils rentré?" - "La porte était ouverte Mr le Juge"

The hackers had infiltrated Tesla’s Kubernetes console which was not password protected.

A la question "comment sont ils sorti?" (les infrastructures Amazon et Google cloud ont des système de detection d'activité et de trafic lié au minage assez efficace si jamais vous avez l'idée de miner sur les serveurs compute cloud ou aws, s3. Mais les gars étaient malins. Ils ne disent pas combien de temps cela a duré

In addition to the data exposure, hackers were performing crypto mining from within one of Tesla’s Kubernetes pods. The team noted some sophisticated evasion measures that were employed in this attack.

Unlike other crypto mining incidents, the hackers did not use a well known public “mining pool” in this attack. Instead, they installed mining pool software and configured the malicious script to connect to an “unlisted” or semi-public endpoint. This makes it difficult for standard IP/domain based threat intelligence feeds to detect the malicious activity.
The hackers also hid the true IP address of the mining pool server behind CloudFlare, a free content delivery network (CDN) service. The hackers can use a new IP address on-demand by registering for free CDN services. This makes IP address based detection of crypto mining activity even more challenging.
Moreover, the mining software was configured to listen on a non-standard port which makes it hard to detect the malicious activity based on port traffic.
Lastly, the team also observed on Tesla’s Kubernetes dashboard that CPU usage was not very high. The hackers had most likely configured the mining software to keep the usage low to evade detection.

Ce message a été modifié par _Panta - 21 Feb 2018, 08:41.

[VSD]

Ils se sont génés peut être !!!
La fameuse voiture risque d'avoir de graves problèmes une fois en circulation !!!

[marc_os]

[...]
Lastly, the team also observed on Tesla’s Kubernetes dashboard that CPU usage was not very high. The hackers had most likely configured the mining software to keep the usage low to evade detection.

Les sites avec du javascript pour faire du mining à l'insu de leurs visiteurs sur leurs machines procèdent de même avec une consommation CPU "raisonnable", mais constante - et c'est à cela entre autres qu'on peut détecter le fait qu'un site fait tourner ce genre de merde.

[_Panta]

Oui entre autres. L'activité CPU en est un, mais le blacklistage des adresses des pools les plus connus en créant le leur sur une url difficilement identifiable comme pool, ainsi que les ports couramment utilisés par les miners en est une autre.

Ils ont contourné la protection en utilisant une ip dynamique, des ports anodins (par exemple 80 en passant par le port d'écoute serveur web). J'avais miner, a but purement éducatif bien sur, à partir d'instance Amazon et Compute Google, j'ai pas mal de "credit" d'instance qui ne me coute rien sur leur infrastructure cloud, on peut y lancer des sessions Kubernetes en créant des clusters bien costaud, alors quoi faire d'une centaine de coeurs virtuel inactif et gratuit ?J'étais certainement pas le premier à y penser, et ça a été bloqué après 5 ou 6 heures de minage (ça à mis quand même du temps, j'aurais pensé une détection des services interdit bien plus rapide), le compte suspendu temporairement. Ils ont donc des signaux précis pour relever ce genre d'activités hors-CGU les petits malin vénaux

Ce message a été modifié par _Panta - 21 Feb 2018, 13:38.

[iAPX]

@Lionel c'est Amazon AWS, plus précisément des instances EC2, pas du S3 (qui est du stockage de fichiers/médias on the edge).

Et ça ressemble beaucoup à quelqu'un en interne (ou ayant accès à des infos internes) qui ai agit.

Ce message a été modifié par iAPX - 21 Feb 2018, 13:32.

[linus]

Ce sera marrant quand le puissant ordinateur de la voiture autonome sera trop occupé à miner pour gérer les situations de crise. L’argent a toujours eu totale priorité sur la vie humaine, donc rien que de normal et prévisible.

Ce message a été modifié par linus - 21 Feb 2018, 13:38.

[Fafnir]

+ amusant:
https://www.rockpapershotgun.com/2018/02/20...rs/#more-518079

[_Panta]

+ amusant:
https://www.rockpapershotgun.com/2018/02/20...rs/#more-518079

Non pas spécialement drôle, mais vraiment flippant. En tôle les vilains, goudron et plumes avant, c'est une honte, il faudra un jour taper fort pour l'exemple. Seul les américains le peuvent malheureusement, par leur pouvoir de retention et la force de leurs amendes.

Ce message a été modifié par _Panta - 21 Feb 2018, 23:00.