Отличный пример, почему нужно обновлять прошивку и менять стандартные пароли от систем управления серверами (iBMC, Ilo, iDrac etc)
При получении доступа к системе управления сервером, вы увидете экран VNC, скорее всего нужно будет ввести пароль от системы, но может и повезет)
BMC позволяет загрузиться с live-cd, а дальше порядок действий всем знаком:
создаем локального пользователя, сбрасываем пароль, переименовываем cmd, дампим креды и т.п (WinPE 😁).
Для обнаружения таких атак:
🔤 нужно настроить сбор логов с BMC
🔤 настроить правила корреляции (с каких адресов могут авторизовываться), какие учетные записи
🔤 настроить корреляцию для монтирования дисков
🔤 проводить аудит учетных записей и уязвимостей
Еще один пример от Rapid7
#detection@detectioneasy
#ttp@detectioneasy