Провайдер хостинга FirstVDS подтвердил факт взлома части своей инфраструктуры 17 октября. Злоумышленники использовали уязвимость в системе управления виртуализацией VMmanager 6 для кражи данных с клиентских серверов. Атакующие запустили вредоносную программу на уровне физической инфраструктуры, которая подключалась к дискам виртуальных машин в режиме только для чтения, извлекала файлы и передавала их на внешний сервер. Благодаря этому атака прошла незаметно для владельцев серверов, так как виртуальные машины продолжали работать в штатном режиме, а стандартные логи операционных систем не показали признаков вторжения.
В персональных уведомлениях FirstVDS указал, что файлы затронутых серверов могли быть доступны посторонним с 12:27 до 22:34 по московскому времени 17 октября, что составляет потенциальное окно доступа в 10 часов 7 минут. Компания рекомендует считать скомпрометированными все секреты, находившиеся на пострадавших машинах, даже если факт копирования отдельных файлов не подтвержден. В число похищенных данных входят SSH-ключи, системные пароли, конфигурации приложений, содержимое хранилищ KeePass и GPG, браузерные пароли и cookies. Особую опасность представляет возможность компрометации криптовалютных активов, включая приватные ключи кошельков, ключи валидаторов и seed-фразы.
Последствия инцидента могут выйти за пределы хостинга, так как среди украденных секретов также фигурируют учетные данные AWS, Google Cloud, Microsoft Azure и OpenStack, настройки Kubernetes и Terraform, а также токены GitHub, GitLab и npm. Доступ к таким данным позволяет злоумышленникам проникать в другие облачные среды и репозитории исходного кода. FirstVDS не раскрыл технические подробности уязвимости, способ первоначального проникновения и конкретные версии VMmanager 6, позволившие провести атаку, а также не предоставил публичный идентификатор CVE. Разработчик платформы ISPsystem выпустил промежуточное исправление, но полностью закрыть уязвимость пока не удалось.
После обнаружения вторжения провайдер отключил внешний доступ к системе управления виртуализацией и заблокировал IP-адрес сервера, на который отправлялись украденные файлы. На 15:58 18 октября авторизация в трех панелях VMmanager оставалась недоступной, однако личный кабинет и сервисы резервного копирования работали. Точное количество пострадавших клиентов и машин не названо, но расследование продолжается. FirstVDS советует клиентам не ограничиваться сменой пароля, а отозвать старые ключи, заменить токены облачных сервисов и проверить журналы сторонних систем на наличие следов вторичных атак, таких как добавление пользователей или заданий cron. Также компания предупредила о юридических последствиях для операторов, размещавших персональные данные, согласно требованиям закона № 152-ФЗ.
