Bastano pochi minuti per compromettere migliaia di macchine sfruttando una debolezza nel BMC, il Baseboard Management Controller, un componente nascosto dentro quasi ogni server che può regalare a un aggressore un controllo paragonabile all’accesso fisico alla macchina. Si tratta di un piccolo computer indipendente dal sistema operativo, pensato per permettere agli amministratori di riavviare il server, aprire una console remota, montare immagini ISO, aggiornare il firmware e cambiare la configurazione hardware anche quando il sistema principale non risponde più.
Una ricerca firmata Lava mostra però quanto sia rischioso lasciare questa interfaccia esposta su Internet. Sono stati individuati 36.872 sistemi raggiungibili pubblicamente e, in circa due casi su tre, i ricercatori hanno ottenuto materiale crittografico utile per tentare il recupero offline delle password. C’è anche una mappa interattiva, aggiornata in continuazione, che segnala dove si trovano i sistemi più esposti.
Il ruolo di IPMI e la debolezza mai davvero rimossa
Il BMC è l’hardware che rende possibile la gestione remota del server. IPMI, invece, è uno dei protocolli con cui si comunica con quel controller: definisce comandi, messaggi e procedure per interrogarlo o dargli ordini attraverso la rete. La versione 2.0 della specifica risale al 2004 e introdusse un meccanismo di autenticazione più evoluto chiamato RAKP. Ed è proprio qui che si annida la debolezza catalogata come CVE-2013-4786, resa pubblica nel 2013: un client non autenticato può farsi consegnare dal controller un valore crittografico derivato dalla password e poi provare a recuperare la credenziale in locale.
Oltre 20 anni dopo la pubblicazione di IPMI 2.0, migliaia di BMC continuano a esporre il servizio sulla porta UDP 623 direttamente verso Internet. La novità non è la scoperta di un difetto sconosciuto, ma il fatto che una debolezza progettuale mai sistemata oggi si somma a password prevedibili e a una potenza di calcolo enormemente superiore rispetto a quella disponibile quando il protocollo fu ideato. I numeri raccolti rendono l’idea. Su 36.872 indirizzi IP, 24.650 controller hanno restituito almeno una risposta RAKP contenente un codice derivato dalla password ancora prima che il client completasse l’autenticazione. In 6.240 casi è stato associato un nome utente vuoto a una password debole, mentre altri 2.340 sistemi usavano account tipo ADMIN o root con credenziali che si trovano nelle solite raccolte di password. I ricercatori non hanno usato le credenziali per accedere: hanno verificato i candidati offline e avvisato i gestori.
Ogni produttore chiama questa tecnologia a modo suo. HPE usa iLO, Dell iDRAC, Lenovo XClarity Controller, mentre Supermicro integra una propria piattaforma. Esiste poi OpenBMC, progetto open source adottato in diverse infrastrutture cloud e hyperscale. Il nucleo resta simile: telemetria dei sensori, controllo dell’alimentazione, accesso KVM remoto, gestione utenti, aggiornamenti firmware e virtual media. Quest’ultimo permette di mostrare al server un’immagine ISO remota come se fosse un DVD collegato fisicamente. Comodissimo per installare un sistema operativo su una macchina lontana migliaia di chilometri. Nelle mani sbagliate, invece, consente di avviare strumenti arbitrari o intervenire prima ancora che parta il sistema operativo. E un BMC compromesso lavora fuori dal raggio di antivirus, EDR e agenti di monitoraggio installati sull’host, senza lasciare le tracce tipiche di un’intrusione.
Riscatti, impianti persistenti e come proteggersi
Durante l’indagine è saltata fuori una pagina di accesso HPE iLO 4 che mostrava una richiesta di riscatto nel campo Security Notice. Il messaggio sosteneva che i dati del server fossero stati cifrati e chiedeva 0,3 BTC, con tanto di riferimento a RSA-2048 e un indirizzo email usa e getta. Impossibile verificare se i dischi fossero davvero cifrati, ma la modifica dell’avviso dimostrava che qualcuno, non autorizzato, aveva messo le mani sull’interfaccia amministrativa. Nel 2021 era già emersa la campagna iLOBleed, un impianto persistente trovato nel firmware HPE iLO 4 e legato ad attacchi distruttivi. Il malware manipolava l’aggiornamento e poteva fingere di installare firmware legittimi mantenendo il controllo. Ecco perché un incidente sul BMC non si gestisce come una normale infezione del sistema operativo.
Il primo passo è fare un inventario di tutti i controller, compresi quelli su server dismessi, appliance, nodi di laboratorio e macchine fornite da terzi, annotando indirizzo IP, modello, versione firmware, VLAN e account autorizzati. Dal perimetro esterno va verificato che la porta UDP 623 non risponda sugli indirizzi pubblici: attenzione, IPMI usa soprattutto UDP, quindi un controllo delle sole porte TCP dà un falso senso di sicurezza. Un secondo test deve partire dalle reti interne, perché ransomware e attaccanti già presenti nella LAN cercano proprio queste interfacce per aumentare i privilegi. La mitigazione principale non richiede prodotti nuovi: IPMI semplicemente non deve essere raggiungibile da Internet. I controller vanno messi in una VLAN di management dedicata, l’accesso remoto passa da una VPN con autenticazione a più fattori o da un bastion host rinforzato. Supermicro raccomanda di tenere i controller su reti accessibili localmente, filtrare UDP 623 e TCP 5900 tramite firewall, aggiornare periodicamente il firmware e affidarsi a firme crittografiche.