Российский хостинг-провайдер Beget, который почти две недели восстанавливает инфраструктуру после разрушительной кибератаки, столкнулся с новым нападением. На серверы компании направили поток трафика мощностью до 850 Гбит/с. Проблемы с доступом затронули даже пользователей Ozon, Wildberries и Сбербанка.
Злоумышленники последовательно атакуют разные подсети Beget, переключаясь между диапазонами IP-адресов. Подобная тактика позволяет создавать перегрузку на различных участках инфраструктуры и затрудняет защиту. По оценке провайдера, характер нападения указывает на попытку помешать восстановлению сервисов после взлома 2 ноября. Однако доказательств связи между двумя атаками компания пока не представила.
Последствия вышли за пределы сайтов, размещённых на серверах Beget. Компания предупредила, что у некоторых пользователей могли временно возникать проблемы с доступом к Ozon, Wildberries, Сбербанку и другим популярным ресурсам. Провайдер связывает перебои с интенсивностью атаки и нарушением сетевой связности. При этом сведений о самостоятельных сбоях в инфраструктуре перечисленных сервисов нет.
Для защиты инфраструктуры Beget ввёл ограничения на SSH-подключения из-за рубежа. С одного IP-адреса за пределами России разрешено не более пяти попыток подключения в секунду. SSH используют системные администраторы для защищённого удалённого управления серверами, поэтому ограничения могут затронуть клиентов, работающих с зарубежных адресов. Полностью доступ по SSH компания не закрывала.
Нынешнее нападение относится к категории DDoS-атак, при которых злоумышленники направляют на инфраструктуру огромный поток сетевого трафика, стремясь перегрузить каналы связи или оборудование. Мощность до 850 Гбит/с характеризует интенсивность потока, а не объём украденной информации. В отличие от взлома с проникновением в систему, DDoS сама по себе не означает получение доступа к серверам или данным клиентов.
Для Beget новая атака произошла в особенно тяжёлый момент. В ночь на 2 ноября злоумышленники проникли в управляющую инфраструктуру провайдера и запустили вредоносное программное обеспечение для удаления данных. По восстановленной компанией хронологии, несанкционированный доступ предположительно получили около 02:00, а примерно через полчаса началось уничтожение информации. В 02:55 инженеры отключили серверы от сети, чтобы остановить распространение атаки.
Первый взлом привёл к серьёзным потерям. Beget подтвердил уничтожение данных облачной инфраструктуры VPS, S3 и Kubernetes, а также утрату бинарных резервных копий виртуальных серверов. Файловые резервные копии VPS удалось сохранить, поэтому часть информации клиенты могут восстановить. Пострадали настройки CDN и IP-адресов, а для возвращения сервисов инженерам пришлось вручную проверять и заново настраивать более тысячи серверов.
К моменту новой атаки провайдер добился заметного прогресса. Согласно последнему отчёту Beget, удалось восстановить 95% серверов виртуального хостинга и 94% выделенных серверов. Из резервных копий уже вернули более 150 тысяч сайтов с установленными SSL-сертификатами. Большая часть функций панели управления снова доступна, однако восстановление облачной инфраструктуры и некоторых операций с доменами продолжается.
Отдельной проблемой остаётся доступ клиентов к резервным копиям VPS. Beget восстановил возможность самостоятельно запрашивать поиск сохранившегося бэкапа, подтвердив права на сервер. При этом успешная проверка не гарантирует наличия пригодной копии. Техническая поддержка также работает с повышенной нагрузкой, поэтому пользователи могут дольше обычного ожидать ответа.
Пока неизвестно, кто организовал новую DDoS-атаку, сколько источников трафика в ней задействовано и связаны ли нападавшие со злоумышленниками, уничтожившими данные 2 ноября. Beget продолжает отражать нападение и восстанавливать стабильную работу сети. О новых случаях уничтожения или хищения клиентских данных в результате нынешней атаки компания не сообщала.
