У FirstVDS украли данные клиентов через уязвимость в системе VMmanager
3 мин
93
Уязвимость в системе управления виртуализацией VMmanager 6 открыла злоумышленникам доступ к инфраструктуре FirstVDS. Они запустили программу для кражи данных с виртуальных серверов клиентов облачного провайдера. Атака затронула отдельные узлы виртуализации и работавшие на них клиентские серверы.
Программа подключала диски виртуальных машин в режиме только для чтения и копировала пароли, ключи SSH, API и облачных сервисов, токены, файлы настроек и историю команд. Также злоумышленники собирали криптокошельки и пользовательские файлы. Собранные данные отправлялись на сервер атакующих.
По данным FirstVDS, вредоносная программа не меняла содержимое дисков и не запускалась внутри виртуальных машин, поэтому на самих клиентских серверах нет следов атаки. Они продолжают работать как обычно. При этом данные с затронутых серверов провайдер советует считать скопированными.
Сразу после обнаружения атаки FirstVDS закрыла внешний доступ к системе управления виртуализацией. Как уточнили в компании, именно эта мера сейчас защищает инфраструктуру от повторного взлома тем же способом. Провайдер также заблокировал в своей сети адрес сервера злоумышленников.
Разработчик VMmanager 6 уже выпустил промежуточный патч и продолжил работу над полным исправлением. 19 октября вышел ещё один патч, который FirstVDS уже установила. Однако уязвимость пока устранена не полностью. Создатели VMmanager 6 готовят следующие патчи, а пока не рекомендуют открывать доступ к панели. FirstVDS оставит доступ закрытым до полного исправления.
Владельцам затронутых серверов облачный провайдер отправил уведомления в личный кабинет и на электронную почту. В них приведены списки серверов и инструкции. В дополнительной рассылке уведомления получили владельцы серверов на узлах с признаками возможного взлома. Компания попросила получателей выполнить инструкции из писем.
Отсутствие уведомления означает, что на узлах с серверами клиента пока не нашли следов атаки. Расследование продолжается. При обнаружении новых признаков взлома FirstVDS сообщит владельцам затронутых машин.
Главным риском для клиентов облачный провайдер назвал использование украденных паролей и ключей. FirstVDS советует заменить их как можно скорее. Владельцам криптокошельков провайдер рекомендует сначала перевести средства на новые кошельки, создав их на другом чистом устройстве.
Известно, что злоумышленники могли воспользоваться украденными данными до смены паролей. Поэтому FirstVDS также рекомендует проверить журналы входов на сервере и во внешних сервисах с ключами доступа на нём. Пользователям стоит искать входы с незнакомых адресов после 17 октября. Если атакующие успели войти в систему, компания советует проверить файл ~/.ssh/authorized_keys, новых пользователей, задания cron и службы systemd.
Владельцам серверов с персональными данными клиентов FirstVDS рекомендует обратиться к юристу. Консультация поможет выяснить, нужно ли уведомлять Роскомнадзор.
Компания опубликует подробный разбор после закрытия инцидента и завершения расследования. До этого FirstVDS планирует обновлять первоначальное сообщение при появлении новых сведений.
