Комментарии 82
Всё больше и больше «подарков» нам новый год.
Этот год можно смело назвать — год бекдоров и «дырок».
Этот год можно смело назвать — год бекдоров и «дырок».
Зато мои данные не в облаке у нехороших корпораций, а на своём личном устройстве дома.
/irony
/irony
Честно говоря, стандартная система на WD весьма отвратительна. Ее очень желательно заменить на чистый debian.
А вообще конечно дешевле и эффективнее собрать себе mini-itx сервер, проверено как раз после wd mycloud.
А вообще конечно дешевле и эффективнее собрать себе mini-itx сервер, проверено как раз после wd mycloud.
Причем самые пикантные. Надежно же, дома, а не у корпораций.
Судя по всему, это d-link c шильдиком WD.
Именно они и есть.
А про дыру в «длинках» даже на хабре писали уже.
А про дыру в «длинках» даже на хабре писали уже.
Для меня WD умерла ещё когда они выпустили диски в штампованных корпусах, загерметизированные плёночкой по периметру. Не терплю халтуры.
Вы меня прямо таки заинтриговали, можно подробнее? Модели дисков, когда это было и тд.
Где-то в конце 90х-начале 2000х, если не ошибаюсь. Конструкция была реально идиотской — герметизирующая ленточка из клейкой алюминиевой фольги по периметру всей банки. Раз-два вставил/вытащил HDD из тесной корзины и ленточка рвалась и отрывалась, а банка начинала общаться с атмосферой. После чего гарантийщики с чистой совестью отказывали в обмене винта на исправный.
банка всегда сообщается с атмосферой. Кроме супер современных винтов которые наполнены гелием, обычно это 8+Tb
Имелось в виду то, что она сообщалась с атмосферой минуя фильтрматериал и лабиринт, что позволяло пыли попадать внутрь. Но должен сказать, что мне из многих таких винтов ни на одном ленточку порвать не удалось, хотя и эксплуатировались они как дискетки. Возможно, мои модели были выпущены после работы над ошибками.
А есть фото? Я только на сигейтах такую помню. Но и там чтобы ее порвать надо было постараться. Если приходилось часто вынимать — просто покупался недорогой бокс для переноски, сам диск при извлечении не страдал.
Картинка Сигейт
Да это была реальная такая подлянка.
Корпуса тогда покупали самые дешевые (времена то были трудные, денег больно не было).
Чувак знакомый так убил свой гиговый винт, он стоил по тем временам для нас огромных денег.
Я потом обматывал винт по периметру изолентой или скотчем.
Например:
Caviar 2850
Caviar 280 (у меня такого не было, но тут ленточка хорошо видна)
После того как со мной через видеоняню поговорил какой-то мужик на английском, я в целом не доверяю ни каким «недо-пк» из СОХО сегмента.
А можно раскрыть тему? Что за видеоняня, как подключена, что мужик сказал ^-^
Вы поняли, как он на вашу видеоняню вышел?
Вы поняли, как он на вашу видеоняню вышел?
Сбрутили камеру, возможно.
Видеоняня по сути обычная айпи камера с поворотом, ночным режимом, микрофоном и динамиком, моя была фирмы vstarcam, но судя по новостям в интернете — они все одинаковые. Большинство таких камер и ВН — используют «облака», на самом деле просто сливают все на сервера в Китае, а с девайсов уже смотришь стрим оттуда. Конечно они обещают что там кругом пароли, все секретно и безопасно, я все стандартные учетки и пароли поменял сразу, айдишник камеры не светил и не публиковал ни где. В один из дней камера перестала вращаться при включении, она так делает для самодиагностики, и она у меня на отдельном выключателе была. Дети подросли и тыкали выключатель регулярно, а я старался держать его выключенным постоянно, т.к. необходимость мониторинга отпала. Ну в общем я знал момент когда она перестала штатно проводит самодиагностику, я подумал что сломалась и выключал всегда сразу за детьми, примерно через неделю другую после «поломки» мне было лень ее выключать, какое-то время она была включена, смотрела в потолок и я особо не парился. И тут со мной начали разговаривать на английском с акцентом. Качество динамика там очень плохое — я ни чего не понял, вырубил и вытащил бп. Кстати с момента поломки камера перестала быть доступна через фирменное приложение, я не мог ни смотреть с нее ни управлять, думал что сгорела. Видимо же ее перепрошили. Ну и если что я ни какие порты на роутере не открывал. Т.е. камера снаружи совершенно не видна. Вектор взлома скорее всего через облачный сервис, путем перебора айдишников для поиска живых камер. А далее какой-то бекдор по типу описанного здесь.
Оуу, интересно, спасибо.
Есть специализирующиеся на этим пранкеры =)
Два года назад взлом камер был на пике популярности, некоторые записи очень смешные.
www.youtube.com/watch?v=Xmog3GGNbFI
www.youtube.com/watch?v=Xmog3GGNbFI
Я когда купил где то пол года-год назад свой My Cloud EX2 Ultra и начал использовать у меня сложилось впечатление, что я купил что-то не очень хорошее (шум, температура, юзабилити и т.д), похоже предчувствие оправдалось сполна. 6 месяцев не закрывать такую уязвимость, похоже пришло время задуматься о продаже своего NAS и покупки другого.
А перепрошить на какой-нить freenas нельзя?
Честно сказать я рассчитываю на решение из коробки, как-то совсем не хочется тратить время на все это, а хуже всего, что я не знаю куда положить около 6 терабайт на время всех таких экспериментов и даже при переезде на новый NAS это все надо куда-то бэкапнуть чтобы не потерять в случае не штатной ситуации или кривых рук и на все это надо много времени :(
НЛО прилетело и опубликовало эту надпись здесь
А диски нельзя просто вынуть на время экспериментов?
Система на этих дисках (диске?) и стоит.
У меня самая первая версия WD MyCloud на 2ТБ, на которую был установлен чистый дебиан. Раздел с данными отделен от раздела с системой, поэтому можно спокойно манипулировать с системой.
Если интересно этим звонятся, то рекомендую прочитать вот эту тему на форуме WD. Там же автор выложил готовые образы для некоторых версий устройств и даже автоматический скрипт для установки. Рекомендую снять образ перед манипуляциями, подключив диск к другому компьютеру. Хранить резервную копию можно прям на разделе с данными.
Из минусов можно отметить то, что почему-то не все пакеты обновляются, а так же снижение скорости чтения-записи при работе по сети (smb протокол) до 50Мб на чтение и 30 на запись, но при этом стриминг видео работает намного лучше и при перемотке нет зависаний на 30-60 секунд, а также сорванные клипсы при разборке устройства.
Если буду менять себе накопитель, то буду собирать его на чем-то подобном с небольшим ссд для максимальной энергоэффективности. Сейчас меня останавливает отсутствие нормальных корпусов под это дело, а ставить в комнате еще одну здоровенную коробку я не хочу.
Если интересно этим звонятся, то рекомендую прочитать вот эту тему на форуме WD. Там же автор выложил готовые образы для некоторых версий устройств и даже автоматический скрипт для установки. Рекомендую снять образ перед манипуляциями, подключив диск к другому компьютеру. Хранить резервную копию можно прям на разделе с данными.
Из минусов можно отметить то, что почему-то не все пакеты обновляются, а так же снижение скорости чтения-записи при работе по сети (smb протокол) до 50Мб на чтение и 30 на запись, но при этом стриминг видео работает намного лучше и при перемотке нет зависаний на 30-60 секунд, а также сорванные клипсы при разборке устройства.
Если буду менять себе накопитель, то буду собирать его на чем-то подобном с небольшим ссд для максимальной энергоэффективности. Сейчас меня останавливает отсутствие нормальных корпусов под это дело, а ставить в комнате еще одну здоровенную коробку я не хочу.
Он-то конечно отделен, но почти все гайды по установке чистой системы включают в себя создание новой файловой системы и raid.
Поэтому… Я бы не стал.
Поэтому… Я бы не стал.
Если хочется один накопитель + ssd и устраивают диски 2.5" (сейчас бывают до 5ТБ) — можно взять что-нибудь типа asus vm45. Либо туда можно вместо двух 2.5" поставить один диск 3.5". Достаточно компактен и удобен. Производительности местного celeron'а хватает на транскодинг 1080p через plex.
В моём были в комплекте 4GB DDR4 RAM и 120GB SSD. Корзина на два диска в комплекте. Брал в Ситилинке.
В моём были в комплекте 4GB DDR4 RAM и 120GB SSD. Корзина на два диска в комплекте. Брал в Ситилинке.
Вообще-то не должна. Там же диски могут меняться, в случае выхода из строя, а система должна оставаться. Но у меня нет NAS, все присматриваюсь, да как-то обхожусь пока что просто еще одним винтом
Можно.
В общем-то многие так и делают, т.к. вообще говоря среднестатические отзывы на WD Cloud в плане софта ниже среднего уровня.
Осталось правда понять закроет ли перепрошивка эту дыру.
А так ценник-то решал. За цену популяных «майклоудов» можно было примерно такой же hdd купить, nas считай бесплатным довеском шел.
В общем-то многие так и делают, т.к. вообще говоря среднестатические отзывы на WD Cloud в плане софта ниже среднего уровня.
Осталось правда понять закроет ли перепрошивка эту дыру.
А так ценник-то решал. За цену популяных «майклоудов» можно было примерно такой же hdd купить, nas считай бесплатным довеском шел.
Видел сообщения, что патч вышел еще в ноябре, уязвимость не воспроизводится.
Срамота!
Зачем, зачем вендоры упрямо и настойчиво продолжают так делать??
Ответ простой: потому всё равно покупают.
Сейчас ситуация такова, что все крупные компании по сути дискредитированы дважды — первый раз, когда уязвимость находится, а второй — когда она оперативно не закрывается (мне это само по себе удивительно до сих пор), существуя очень-очень долгое время. И выход получается один: покупать простенький ПК и разбираться во всем самому. Но это хорошо, если надо организовать видеонаблюдение, поднять FTP-сервер или своё облако. А что делать с умной техникой? А с автомобилями? Куда ни плюсь — везде вот такие «косяки» вылазят периодически. Можно было бы надеяться на опасность репутационных потерь, но это не работает. Выход один — тотально отказываться от устройств с таким вот вот с этим. Но для этого нужно иметь ясное понимание и стойкую гражданскую позицию. А с этим в мире тоже не всё хорошо.
Сейчас ситуация такова, что все крупные компании по сути дискредитированы дважды — первый раз, когда уязвимость находится, а второй — когда она оперативно не закрывается (мне это само по себе удивительно до сих пор), существуя очень-очень долгое время. И выход получается один: покупать простенький ПК и разбираться во всем самому. Но это хорошо, если надо организовать видеонаблюдение, поднять FTP-сервер или своё облако. А что делать с умной техникой? А с автомобилями? Куда ни плюсь — везде вот такие «косяки» вылазят периодически. Можно было бы надеяться на опасность репутационных потерь, но это не работает. Выход один — тотально отказываться от устройств с таким вот вот с этим. Но для этого нужно иметь ясное понимание и стойкую гражданскую позицию. А с этим в мире тоже не всё хорошо.
Ещё хуже, когда в изделия намеренно внедряется фича, совершенно бесполезная для пользователей, но при этом активно эксплуатируемая злоумышленниками.
Вот например Intel ME. Кто ей вообще пользуется? При этом она глючная, дырявая и удорожающая процессоры. Складывается ощущение, что Intel намеренно поддерживает троянописателей, а то же человечеству скучно будет, если адварь вдруг переведётся.
При этом проголосовать деньгами, просто перестав покупать такие процессоры, невозможно, т.к. подобная технология поддержки адвари под разными названиями присутствует во всех выпускаемых десктопных процессорах.
Вот например Intel ME. Кто ей вообще пользуется? При этом она глючная, дырявая и удорожающая процессоры. Складывается ощущение, что Intel намеренно поддерживает троянописателей, а то же человечеству скучно будет, если адварь вдруг переведётся.
При этом проголосовать деньгами, просто перестав покупать такие процессоры, невозможно, т.к. подобная технология поддержки адвари под разными названиями присутствует во всех выпускаемых десктопных процессорах.
Согласен, есть ряд продуктов, от которых отказаться невозможно ввиду отсутствия альтернатив.
Не путайте потребительское с копоративным.
Уже не раз обсуждалось, что ME вполне себе используется и достаточно полезна для больших парков. Проблеме не в интеле. Производители материнских плат/пк/ноутбуков могут все закрыть или не устанавливать в потребительские модели энтерпрайс решения. Админы на производстве должны закрывать если не используют.
Уже не раз обсуждалось, что ME вполне себе используется и достаточно полезна для больших парков. Проблеме не в интеле. Производители материнских плат/пк/ноутбуков могут все закрыть или не устанавливать в потребительские модели энтерпрайс решения. Админы на производстве должны закрывать если не используют.
В чем именно польза ME за пределом Q чипсетов с AMT?
По большому счету, его и не должно быть за предела бизнес и серверного сегментов. И у intel если я не ошибаюсь так есть. А вот производители почему ставят бизнес чипсеты?
В корпоративных продуктах тоже встречается: Backdoor в HP MSA P2000 G3
Причем хотел обновить прошивку, но оказалось что обновление возможно, только если куплена поддержка на эту железку.
Причем хотел обновить прошивку, но оказалось что обновление возможно, только если куплена поддержка на эту железку.
А что делать с умной техникой? А с автомобилями?
У меня нет ни того, ни другого. Мультиварка Редмонд с управлением через интернет? Неее, я, пожалуй, приду домой и сам её запущу (или поставлю таймер перед уходом на работу).
Автомобиль? В машине 2005 года вряд ли есть что-то похожее на софт Теслы.
Интересно, это баг, или фича?..
Стоит добавить в список ещё Mirror и Mirror Gen2, т.к. прошивки у них теж самые (И аппаратно это почти полная копия Ex2 / Ex2 Ultra)
Одно хорошо — Marvell CPU (SoC), что установлен в большинстве MyCloud'ов поддерживается ядром Linux «Из коробки», что позволяет спокойно собрать своё ядро со всеми патчами (И закрытыми дырками), накатить debian+omv и получить вполне себе юзабельный и «Свежий» NAS.
Одно хорошо — Marvell CPU (SoC), что установлен в большинстве MyCloud'ов поддерживается ядром Linux «Из коробки», что позволяет спокойно собрать своё ядро со всеми патчами (И закрытыми дырками), накатить debian+omv и получить вполне себе юзабельный и «Свежий» NAS.
Так есть список IP с открытыми mycloud или нет еще?
Куда смотреть то? :)
Куда смотреть то? :)
Последнее обновление на моем WD — было в ноябре, подтверждаю, уязвимость не воспроизводится, скорее всего тогда и закрыли ее
Последнее обновление 24.12.17 версия 2.30.174. (MyCloud EX2Ultra) Уязвимость не воспроизводится.
Вы просто пробовали зайти логином/паролем или воспользоваться выложенным Metaexploit?
В комментариях в оригинальной статье эта тема до конца не была раскрыта, а среди моих знакомых ни у кого нет My Cloud чтобы убедиться…
Но говорят, что ноябрьский патч как минимум чинит уязвимость в SMB протоколе.
В комментариях в оригинальной статье эта тема до конца не была раскрыта, а среди моих знакомых ни у кого нет My Cloud чтобы убедиться…
Но говорят, что ноябрьский патч как минимум чинит уязвимость в SMB протоколе.
Пробовал только логин и пароль.
Кроме того, в статье по ссылке указано:
и:
Так что да, нужно тестить всё. Но времени как всегда нету.
Кроме того, в статье по ссылке указано:
--[ 08 — Solution
Upgrade firmware to version 2.30.174
See the official vendor website for further details. Note that we have not
tested these resolutions, and some users report that some of
the vulnerabilities still remain.
и:
Not Vulnerable
MyCloud 04.X Series
MyCloud 2.30.174
Так что да, нужно тестить всё. Но времени как всегда нету.
НЛО прилетело и опубликовало эту надпись здесь
Зайдя шеллом на NAS, вы с него можете отправить что-либо наружу.
Если скрипт получит доступ к насу, разве он сможет дать доступ к содержимому извне?
100500 способов. IRC бот, слушающий команды на известном ему канале. Реверсный ssh туннель. Можно в dropbox выгрузить, или в другое облако. Можно зашифровать и потребовать выкуп.
НАС не должен торчать в интернет.
NAS — от слова network. Это его главное свойство.
Network бывает и local.
У меня самосборный NAS ходит только на *.ubuntu.* за обновлениями и торренты раздает, больше ему в Network делать нечего. Все доступы к файлам торчат только и исключительно в LAN. SSH и прочие прелести в Интернет пускать зачем?
У меня самосборный NAS ходит только на *.ubuntu.* за обновлениями и торренты раздает, больше ему в Network делать нечего. Все доступы к файлам торчат только и исключительно в LAN. SSH и прочие прелести в Интернет пускать зачем?
Network бывает и local.
Легким движением иногда local становится global.
Вот, например, вы _точно_ уверены, что в _вашей_ версии торрент-клиента нет возможности скачать _немного_неправильный_ .torrent и выполнить какое-то remote execution? Да, в самосборной машине поймать такое маловероятно. А в прошивке от вендора может быть что угодно, в том числе и тухлое openssl, и немного устаревшее ядро, и бекдоры… И это массовый продукт, под него обязательно будут копать.
Мне в прошлом году подарили какой-то My Cloud. Я сразу почуял неладное, так как коробка обещает свое собственное облако дома! Это что, дать доступ из вне к диску на котором будет все, от сериалов до архива фото? А если какая ошибка в прошивке, все сопрут? Решил оставить как внешний диск. Ну правильно сделал чо.
Столько шуму из-за этого доступа, но за что не берусь, везде есть доступ по telnet или ssh с фиксированными паролями. Из того, что вспомнилось: видеорегистраторы Keno и Intervision, веб камеры Falkon eye, какие-то старые роутеры D-Link… Это то, что я сам ковырял и выцеплял эти пароли из прошивки.
Понятно, что это дыра, но настолько распространённая, что у меня уже не воспринимается как дыра, а воспринимается как возможность всё нахрен снести и поставить своё.
Купил я как-то в 2015 году WD MyCloud EX2 и диски WD Red. В первые же пару дней офигел от того, что эта зараза жарила диски при температуре 70-80 градусов! Причем прочитав форумы, понял, что это массовая проблема.
Еле-еле впарил этот NAS на Avito, купил железку от другого производителя и в результате доволен на 1000% по сравнению с WD MyCloud EX2. По температуре такие же диски работают при комфортных 30-35 градусах.
К слову сказать, те диски, что изначально я поставил в WD MyCloud EX2 и затем переставил в нормальный NAS — сдохли меньше, чем через год — массово повалились бэды (при этом диски, само собой, никаких нагрузок не испытывали, работали 24/7 без режима сна и прочего). WD по гарантии оба диска поменял. С тех пор, тьфу-тьфу, все работает стабильно. Есть подозрение, что эта «прожарка» в самом начале срока службы сыграла с первыми дисками злую шутку.
Так что вердикт простой сделал для себя — WD делает классные жесткие диски (самому старому WD Black уже более 10 лет, ни одного бэда и т.д.!) и при этом совершенно не умеет делать любое другое железо (до этого еще у меня бывал плеер WD TV Live, с которым тоже плевался). И после этой статьи только укрепился в этом мнении.
Еле-еле впарил этот NAS на Avito, купил железку от другого производителя и в результате доволен на 1000% по сравнению с WD MyCloud EX2. По температуре такие же диски работают при комфортных 30-35 градусах.
К слову сказать, те диски, что изначально я поставил в WD MyCloud EX2 и затем переставил в нормальный NAS — сдохли меньше, чем через год — массово повалились бэды (при этом диски, само собой, никаких нагрузок не испытывали, работали 24/7 без режима сна и прочего). WD по гарантии оба диска поменял. С тех пор, тьфу-тьфу, все работает стабильно. Есть подозрение, что эта «прожарка» в самом начале срока службы сыграла с первыми дисками злую шутку.
Так что вердикт простой сделал для себя — WD делает классные жесткие диски (самому старому WD Black уже более 10 лет, ни одного бэда и т.д.!) и при этом совершенно не умеет делать любое другое железо (до этого еще у меня бывал плеер WD TV Live, с которым тоже плевался). И после этой статьи только укрепился в этом мнении.
Я, кстати, не очень понимаю, зачем Red серия в домашнем NAS. Крайне редко нужна дома высокая производительность…
Температурный режим другой, что в случае того же My Cloud EX2 Ultra может стать критичным моментом, т.к с охлаждением там беда, мои 2x8Tb сейчас работаю при 50-56 и это еще не лето с 30-ю градусами.
Прошивка диска адаптирована для работы в массиве (диск отвечает контроллеру вовремя, что не дает необоснованно перейти в аварийный режим).
Диск работает в низком температурном режиме (почти как WD Green), при этом разрешена работа в режиме 24/7 (как WD Black) и головки не паркуются часто (WD Green старается припарковаться чем быстрее — тем лучше, по умолчанию, кажется через 8 секунд!)
И, к слову, я бы не сказал, что серия Red блещет производительностью как раз (например, RPM 5400) — это скорее к Red Pro относится (RPM 7200). Red обеспечивает надежность при круглосуточной работе.
Диск работает в низком температурном режиме (почти как WD Green), при этом разрешена работа в режиме 24/7 (как WD Black) и головки не паркуются часто (WD Green старается припарковаться чем быстрее — тем лучше, по умолчанию, кажется через 8 секунд!)
И, к слову, я бы не сказал, что серия Red блещет производительностью как раз (например, RPM 5400) — это скорее к Red Pro относится (RPM 7200). Red обеспечивает надежность при круглосуточной работе.
Гарантия больше у RED, с зеркалированием можно три года не думать о том, что диск сломается
WD делает очень разные диски. От действительно классных Black до ужасных Green
Добавлен апдейт от WD — недавно в блоге опубликована следующая статья:
blog.westerndigital.com/western-digital-cloud-update
blog.westerndigital.com/western-digital-cloud-update
НЛО прилетело и опубликовало эту надпись здесь
Зарегистрируйтесь на Хабре, чтобы оставить комментарий
Бэкдор в WD My Cloud, доступный каждому