Хостинг-провайдер FirstVDS подтвердил взлом части своей инфраструктуры 17 октября. Через уязвимость в системе виртуализации VMmanager 6 злоумышленники украли файлы с клиентских серверов, включая пароли, ключи доступа и криптокошельки. Пострадавших призвали срочно защитить свои аккаунты и деньги.
Атакующие воспользовались уязвимостью в программном обеспечении управления виртуализацией и запустили на части физических серверов FirstVDS специальную программу для кражи данных. Вредоносный инструмент подключал диски клиентских виртуальных машин в режиме только для чтения, извлекал необходимые файлы и отправлял собранную информацию на внешний сервер злоумышленников. Провайдер подтвердил факт передачи данных за пределы своей инфраструктуры.
Главная особенность атаки заключается в том, что злоумышленникам не требовалось взламывать каждый клиентский сервер по отдельности. Программа работала на уровне инфраструктуры хостинг-провайдера, не запускалась внутри виртуальных машин и не изменяла содержимое их дисков. Поэтому арендованные серверы продолжали работать в обычном режиме, а их владельцы не могли обнаружить первоначальную кражу по стандартным журналам операционной системы.
В персональных уведомлениях FirstVDS указал, что 17 октября файлы затронутых серверов могли быть доступны посторонним с 12:27 до 22:34 по московскому времени. Потенциальное окно доступа составило 10 часов 7 минут. Компания рекомендовала считать скомпрометированными все секреты, которые находились на пострадавших машинах, даже если конкретный факт копирования отдельных файлов пока не установлен.
В число потенциально похищенных данных входят SSH-ключи, системные пароли, файлы конфигурации приложений, содержимое хранилищ KeePass и GPG, сохранённые браузерные пароли и cookies. Под угрозой оказались также файлы .env, настройки Docker, строки подключения к PostgreSQL, MySQL, MongoDB и Redis, история выполненных команд и пароли систем резервного копирования Restic и Borg.
Особую опасность представляет возможная компрометация криптовалютных активов. На виртуальных серверах могли храниться приватные ключи кошельков, ключи валидаторов и seed-фразы, позволяющие восстановить доступ к криптовалюте. FirstVDS рекомендует владельцам таких кошельков немедленно перевести средства на новые адреса, созданные на другом, заведомо безопасном устройстве. Простая смена пароля от старого кошелька не устранит угрозу, если злоумышленники уже получили исходные секреты.
Последствия могут выйти далеко за пределы самого хостинга. Среди потенциально раскрытых секретов провайдер назвал учётные данные AWS, Google Cloud, Microsoft Azure и OpenStack, настройки Kubernetes и Terraform, а также токены GitHub, GitLab и npm. В файлах могли находиться API-ключи OpenAI и Anthropic. Доступ к подобным данным способен позволить атакующим проникнуть в другие облачные среды, репозитории исходного кода и системы автоматической сборки программ. Подтверждений таких вторичных атак пока нет.
Уязвимость обнаружили в VMmanager 6, платформе российской компании ISPsystem, входящей в «Группу Астра». Продукт предназначен для централизованного управления виртуальными машинами и позволяет администраторам работать сразу с несколькими кластерами физических серверов. Подобная архитектура превращает систему управления в особенно чувствительную точку инфраструктуры. Получив доступ к привилегированным компонентам платформы, атакующий потенциально может добраться до ресурсов сразу нескольких клиентов.
FirstVDS не раскрыл технические подробности уязвимости, способ первоначального проникновения и конкретные версии VMmanager 6, позволившие провести атаку. Публичного идентификатора CVE для использованной ошибки также пока нет. Из сообщения провайдера следует, что злоумышленники скомпрометировали систему управления виртуализацией, однако оснований утверждать, что была взломана непосредственно изоляция гипервизора KVM, пока недостаточно.
После обнаружения вторжения FirstVDS отключил внешний доступ к системе управления виртуализацией и заблокировал в своей сети IP-адрес сервера, на который отправлялись украденные файлы. Разработчик VMmanager выпустил промежуточное исправление, однако полностью закрыть уязвимость пока не удалось. До выхода окончательного патча провайдер намерен сохранять ограничения доступа, чтобы предотвратить повторное проникновение тем же способом.
Ограничения затронули и работу административных инструментов. Согласно статус-панели FirstVDS, 18 октября на 15:58 по московскому времени авторизация оставалась недоступной в трёх панелях VMmanager. При этом личный кабинет, DNS-сервисы и автоматическое резервное копирование отображались как работающие штатно. Недоступность отдельных функций управления не означает, что сами виртуальные серверы прекратили обслуживать сайты и приложения.
Точное количество пострадавших клиентов и виртуальных машин компания пока не назвала. Владельцам серверов, на которых обнаружили признаки атаки, отправили персональные уведомления по электронной почте и через личный кабинет. Днём 18 октября, в 15:25 мск, FirstVDS сообщил о дополнительной рассылке владельцам серверов на узлах с признаками возможной компрометации. Расследование продолжается, поэтому окончательный масштаб инцидента ещё может измениться.
Клиентам, получившим предупреждение, рекомендуют не ограничиваться сменой пароля от самого VDS. Необходимо заменить все закрытые ключи, пароли баз данных, токены облачных сервисов, репозиториев, платёжных систем и интерфейсов программирования, которые хранились на сервере. Старые ключи следует отозвать, поскольку выпуск новых учётных данных сам по себе не лишает злоумышленников доступа через ранее выданные разрешения.
Отдельного внимания требуют журналы сторонних сервисов. FirstVDS советует проверить входы в облачные аккаунты, репозитории и криптобиржи с неизвестных IP-адресов после 17 октября. Если украденные ключи уже использовали для повторного проникновения, на виртуальной машине могут появиться чужие записи в authorized_keys, дополнительные пользователи, задания cron или службы systemd. Подобные следы относятся к возможным последующим действиям злоумышленников, а не к первоначальному копированию виртуальных дисков.
Провайдер предупредил и о юридических последствиях для компаний, размещавших на затронутых серверах персональные данные своих пользователей. Согласно статье 21 закона № 152-ФЗ, при установлении факта неправомерного доступа к персональным данным, повлёкшего нарушение прав их владельцев, оператор обязан уведомить Роскомнадзор в течение 24 часов с момента выявления инцидента, а в течение 72 часов предоставить результаты внутреннего расследования. Применимость требований зависит от обстоятельств конкретного случая.
Пока FirstVDS не сообщил, какие объёмы информации успели вывести атакующие, сколько клиентов столкнулись с подтверждённой кражей данных и привело ли проникновение к финансовым потерям. Компания обещает опубликовать технический разбор после завершения расследования. Уже установленные обстоятельства показывают, насколько опасным может оказаться взлом общей системы управления виртуализацией. Даже исправно работающий и тщательно защищённый клиентский сервер не способен самостоятельно остановить кражу файлов, если злоумышленники получили доступ к инфраструктуре, на которой размещены его диски.