IBM en Lenovo leverden usb-sticks met malware aan Storwize-klanten

IBM en Lenovo waarschuwen klanten dat er usb-sticks zijn geleverd die malware bevatten. Het gaat om usb-sticks voor de installatie van IBM Storwize-systemen. Hoewel de malware wordt gekopieerd naar de computer, wordt deze volgens de fabrikanten niet uitgevoerd.

Het gaat om malware die in 2015 door Kaspersky werd ontdekt en aangeduid wordt als Trojan.Win32.Recoync. De malware was destijds vooral in Rusland actief en is in staat om wijzigingen door te voeren in het register, bestanden te wijzigen en andere malware te installeren.

Als gebruikers de door IBM en Lenovo verstuurde usb-sticks gebruiken om hun Storwize-apparaat te initialiseren, wordt de tool gekopieerd naar de lokale schijf. Bij Windows-systemen komt de malware terecht in de map %TMP%\initTool en bij Linux- en Mac-systemen is dat /tmp/initTool.

Volgens de bedrijven wordt de malware enkel gekopieerd, maar niet uitgevoerd. Alleen als een gebruiker deze handmatig zou uitvoeren zou de malware actief worden. Het geïnfecteerde bestand beïnvloedt de werking van de Storwize-systemen niet volgens IBM en Lenovo.

Het is niet duidelijk hoe de malware op de usb-sticks terecht is gekomen. In hun mededelingen geven IBM en Lenovo daarover geen uitleg. Beide bedrijven stuurden dezelfde usb-sticks, die te herkennen zijn aan het onderdeelnummer 01AC585. De sticks zijn bedoeld voor de initialisatie van de IBM Storwize V3500, V3700 en V5000. Dat zijn professionele nas-apparaten.

Verschillende antiviruspakketten herkennen de malware. IBM heeft een lijst opgesteld met pakketten die de malware herkennen en hoe zij de malware aanduiden. De fabrikanten raden gebruikers aan om de map te verwijderen en de usb-stick te vernietigen of ook daarvan de data te verwijderen. De fabrikanten zeggen maatregelen genomen te hebben zodat nieuwe usb-sticks de malware niet meer bevatten.

Engine	Signature	Versie	Update
AhnLab-V3	Win32/Pondre	3.8.3.16811	20170330
ESET-NOD32	Win32/TrojanDropper.Agent.PYF	15180	20170331
Kaspersky	Trojan.Win32.Reconyc.hvow	15.0.1.13	20170331
McAfee	PWSZbot-FIB!0178A69C43D4	6.0.6.653	20170331
McAfee-GW-Edition	PWSZbot-FIB!0178A69C43D4	v2015	20170331
Microsoft	VirTool:Win32/Injector.EG	1.1.13601.0	20170331
Qihoo-360	Virus.Win32.WdExt.A	1.0.0.1120	20170331
Symantec	W32.Faedevour!inf	1.2.1.0	20170330
Tencent	Trojan.Win32.Daws.a	1.0.0.1	20170331
TrendMicro	PE_WINDEX.A	9.740.0.1012	20170331
TrendMicro-HouseCall	PE_WINDEX.A	9.900.0.1004	20170331
ZoneAlarm	Trojan.Win32.Reconyc.hvow	1	20170331

Overzicht van antivirusprogramma's en hoe zij de malware die op de usb-sticks staat aanduiden

Reacties (37)

[COW_Koetje]

Ik heb met vele V5000 systemen gewerkt en het is prima storage zeker als je ze aan een P-Serie hangt. De USB stick wordt meegeleverd met een programma waarmee je de eerste settings van het systeem worden geconfigureerd. Daarna stop je de usb stick in het apperaat bij first boot en hij gebruikt die settings file dan om je systeem te initialiseren.
Het programma dat hier genoemd wordt en gecopieerd wordt is het settings programma zelf. Dus je bent altijd verplicht om dit te draaien. Als hij wordt opgestart wordt hij autmoatisch eerst naar lokale disk gestuurd (dit wordt ook vermeld) en daarna opgestart vanaf disk.

Dus in tegenstelling tot het artikel is het "copieren" een verplichte stap. Dit verbaasde me altijd al maar is nu wel dubieus. Ook mijn virusscanner (symatec) of eigenlijk bedrijfsscanner heeft hem nooit op linux gedetecteerd. Wel had ik altijd wat problemen met de X initialisatie waardoor ik vaak gewoon na de eerste keer de init file manueel aanpaste.
Zeer slordig van IBM en ik denk dat dit ze nog wel lang zullen horen. Zeker ook omdat IBM groot leverancier zijn bij banken, defensie en aerospace industrie.

Wel grappig is dat 2 van deze sticks nu in mijn testlab vmware draaien (VMWare on a stick)

[0xygen500]

Weinig virusscanners ontdekken de malware zeg. Hoe de fuck kan je dit installeren op een usb die je gaat versturen... Slechte zaak.

[Bor]

Dit gebeurt vaker dan je denkt. Het infecteren van hardware al in de fabriek is lucratieve business. Dit bewijst trouwens ook weer eens dat de veelgehoorde stelling "ik hoef geen virusscanner want ik weet zelf wel wat ik doe" geen hout snijdt. Je kunt simpelweg niet meer uitgaan van schone installatiebronnen. Zo zijn er in het verleden ook al eens geïnfecteerde MP3 spelers verkocht en zelfs officiële installatie cd's van software welke al in de fabriek geïnfecteerd waren.

Hier bijvoorbeeld een voorbeeld uit 2005: nieuws: Creative levert mp3-spelers met Windows-virus
Nog een voorbeeld uit 2007: nieuws: Virus aangetroffen op externe Maxtor-hardeschijven - Update

[Reactie gewijzigd door Bor op 27 juli 2024 02:44]

[preske]

Ik dnek zelfs aan de rootkit van Sony begin jaren 2000

[Verwijderd]

In het verleden al (begin jaren 90) werden er regelmatig van die shareware cd's verkocht waar virussen opstonden.
Zelf heb ik het meegemaakt bij Vobis intertijd dat er de nodige cd's stijf stonden en hebben we besloten de verkoop van shareware cd's volledig te stoppen.

erg jofel klanten die uhm... "niet zo blij" waren en met hun pc prive projekt geval aan de balie stonden met een gewist bios en dat soort grappen meer.

[YGDRASSIL]

En corsair in 2008 ook een virus op allebei mijn nieuwe survivor memory sticks. Goed gekozen produktnaam

http://forum.corsair.com/v3/showthread.php?t=66605

[0xygen500]

Slecht voorbeeld. Verschillende virusscanners pikken dit virus er niet uit, maar Windows wel . Je kan dus beter gebruik maken van windows defender.

[Bor]

Totaal irrelevant. Windows Defender is ook een virusscanner (welke in de lijn minder presteert dan de top 5 uit de bekendere tests) en bovendien detecteren andere scanners deze ook. Als je het voorbeeld slecht vind zou je moeten vergelijken tussen wel een virusscanner of geen virusscanner, dus ook geen Defender.

[Verwijderd]

Slecht gecontroleerde productiesystemen...

[0xygen500]

Dus tijdens het productieproces bedenkt iemand oh ik doe er een virus bij.

[LOTG]

Wie weet werd hij daar door een voor derde partij betaald. Alleen heeft hij het niet goed gedaan gezien hij niet automatisch actief word.

Of iemand die aan de software werkte heeft wat zaken op zijn PC gedaan die niet de bedoeling waren en vervolgens ingecheckt in wat naar de productie is gegaan. Toch vaag dat er nergens een virus scanner af gaat. Of ze gebruiken er een die hem niet vind.

[densoN]

Je zegt:

Alleen heeft hij het niet goed gedaan gezien hij niet automatisch actief word.

In het artikel staat:

Volgens de bedrijven wordt de malware enkel gekopieerd, maar niet uitgevoerd. Alleen als een gebruiker deze handmatig zou uitvoeren zou de malware actief worden.

Cow_koetje zegt echter:

Het programma dat hier genoemd wordt en gecopieerd wordt is het settings programma zelf. Dus je bent altijd verplicht om dit te draaien. Als hij wordt opgestart wordt hij autmoatisch eerst naar lokale disk gestuurd (dit wordt ook vermeld) en daarna opgestart vanaf disk.

Misschien dat ik niet goed lees, maar het lijkt me uit de reactie van COW dat het opstarten een vereiste is en dus nagenoeg altijd gebeurd bij het gebruik van de stick.

[Reactie gewijzigd door densoN op 27 juli 2024 02:44]

[nooberke]

Nog erger...hoe kan dit in een image belanden voor een hele berg usb-sticks?

[memphis]

Als je de sticks ergens in Azië (china) inkoopt en daar ook de image erop laat zetten acht ik de kans heel groot in zowel bewust als onbewust....

[j1b2c3]

hmm of het was juist de bedoeling om zo lang mogelijk on opgemerkt te blijven deze malware is voor al in Rusland verspreid door een Amerikaans bedrijf .... denk daar eens over na...

[Yzord]

Bij de naam Lenovo krijg ik de afgelopen jaren echt de kriebels met hun malware en bloodware releases. Maar dat IBM hierbij genoemd wordt, daar schrik ik toch wel van. Het feit dat ze geen uitleg geven hoe de malware op de sticks terecht zijn gekomen stemt me ook niet echt vrolijk voor de toekomst voor wat betreft IBM.

[Erasmo]

Het is ondertussen alweer wat, de 3e keer dat ontdekt wordt dat Lenovo niet helemaal koosjer bezig is?

[Sleurhutje]

IBM is jaren geleden al gestopt met desktop systemen, zowel pc's als laptops, onder de eigen naam. Die gaan sindsdien door het leven als Lenovo.

[TonnyTonny]

Intel based servers en een deel van de storage business is inmiddels ook volledig Lenovo.
Alleen Power systemen en een deel (voornamelijk high-end) storage zijn nog echt IBM.
En Lenovo produceert een deel van de spullen die nog onder de IBM brand wordt verkocht zoals deze storage en verkoopt ze ook onder eigen naam.

[Yzord]

Hmm dat wist ik helemaal niet. Aangezien ze ook beide apart worden genoemd in dit nieuwsbericht. Maar ik weet genoeg, na Lenovo, dus ook geen IBM in de toekomst

[gabba25]

Lenovo en ibm hebben een soort samenwerking, joint venture of zoiets. Als je een ibm server besteld, kan er lenovo op staan.

[Luno]

Ach, ondertussen weggegooid. Maar ik heb ooit een set floppen van Microsoft gekregen voor installatie van MSWORD-6 met daarop een macro-virus.
Jaren bewaard als curiosa. MS besteedt fabrikage/duplcatie van installatie floppen uit, en daar zit iemand die een zakcentje extra wil hebben.
Oja, MS was niet blij (wij ook niet, maar we zaten nog op WordPerfect, en dit was voor een testsysteem, dus geen ellende gehad).

[wica]

Weer Lenovo in het nieuws met mallware.

[Firecrash]

Precies. Snap ook niet dat de elaptops en alles nog zo goed gaan. Veel consumenten weten niet dat Lenovo dit doet/heeft gedaan. Zodra ik ze spreek daarover zijn ze heel simpel: ze laten per direct Lenovo links liggen. En terecht imo

[wica]

Veel consumenten weten niet dat Lenovo dit doet/heeft gedaan

Dit komt omdat de consumenten website's zoals tweakers, niet bij een product review, de security geschiedenis van een bedrijf meenemen.

Iets in de trent van Lenovo heeft de afgelopen 5jaar, 12 incidenten gehad, waarvan de laatste 3 maanden geleden. En met links naar de betreffende artikelen.

Hierdoor heeft de consument de mogelijkheid een keuze te maken op basis van veiligheid en doen de fabrikanten hopelijk beter hun best.

[Verwijderd]

Aan de andere kant: de laptops zelf zijn (misschien ook wel van het IBM verleden) _erg_ prettig om mee te werken. Ik heb zelf een E540 en ben daar toch heel erg blij mee. Ik maak alleen geen gebruik van de meegeleverde Windows en andere software. Na jaren Ubuntu ben ik recent overgestapt naar Elementary (eigenlijk ook Ubuntu, maar met een andere WM)

[Reactie gewijzigd door Verwijderd op 27 juli 2024 02:44]

[bozk]

"Cliché IBM bestaat dus nog"

Ik hoop dat dat een grap is. IBM is nog altijd een van de grootste tech bedrijven op aarde (in de Top 5)

https://www.forbes.com/companies/ibm/

[killzonex]

Ligt het aan mij of zie ik lenovo vaak voorbij komen bij malafide gedoe?

[stresstak]

Malafide en Lenovo beginnen langzaamaan uitwisselbare begrippen te worden.

Maar een gewaarschuwd mens telt voor twee. Vermijden die hap. Zegt het voort.

[HarmFull]

Hmm niet de eerste keer dat Lenovo betrapt wordt op het leveren van apperatuur met malware.

Superfish anyone?

[rav994]

Sinds wanneer is een storwize een nas?

[JayPe]

Storage, in een netwerk.
nas.. of san..

Een in bedrijfsnetwerken toegepast apparaat. Wat het precies doet is niet zo erg belangrijk voor het nieuws item: Dat de bijgeleverde USB-sticks voor de installatie(initialisatie) besmet zijn,. dat is 't belangrijkste in dit nieuwstopic.

[rav994]

Het is fiber attached storage, en er is iscsi.
Maar storwize doet geen samba, dus vandaar.