Российский хостинг-провайдер FirstVDS признал, что 17 октября злоумышленники получили доступ к части его инфраструктуры. Они воспользовались уязвимостью в системе управления виртуализацией VMmanager 6 и скопировали данные с клиентских виртуальных серверов. Компания сообщила об этом в официальном посте об инциденте безопасности.
По данным FirstVDS, на часть серверов инфраструктуры хакеры загрузили вредоносную программу для кражи данных. Она подключала диски клиентских виртуальных серверов в режиме «только чтение» и копировала с них пароли, ключи доступа (SSH, API, облачные сервисы) и токены, конфигурационные файлы с историей команд, криптокошельки и пользовательские файлы. Все собранное уходило на сервер злоумышленников.
Атака затронула не всю инфраструктуру, а только часть узлов виртуализации, и пострадали клиентские серверы, размещенные на этих узлах. Как пояснили в компании, программа ничего не меняла на дисках виртуальных серверов и не запускалась внутри них. Поэтому на самом сервере следов атаки нет, и он продолжает работать как обычно. При этом, если клиент получил уведомление в личном кабинете, его данные с сервера следует считать скопированными.
Всем, чьи серверы были затронуты, FirstVDS отправил уведомление в личный кабинет и на почту со списком серверов и инструкцией. Отсутствие такого сообщения, по словам компании, означает, что следов атаки на узлах клиента не нашли. Расследование продолжается, и о новых находках владельцев серверов, которых это коснется, уведомят сразу.
После обнаружения атаки провайдер отключил внешний доступ к системе управления виртуализацией, через которую ее провели. Сейчас именно это защищает инфраструктуру от повторного взлома тем же способом. Кроме того, в сети компании заблокировали адрес сервера злоумышленников. Вендор выпустил промежуточный патч и работает над окончательным исправлением, FirstVDS с ним на связи. Пока уязвимость не будет полностью устранена, доступ к системе останется закрытым.
Главный риск для клиентов, как отметили в компании, состоит в том, что злоумышленники смогут воспользоваться украденными паролями и ключами, поэтому их нужно как можно скорее сменить.
19 октября компания рассказала, что вендор выпустил еще одно исправление и оно уже установлено. Однако уязвимость пока закрыта не полностью: вендор не рекомендует открывать доступ к панели и готовит следующие патчи. До их выхода доступ остается закрытым.
