Хакеры воспользовались уязвимостью в системе управления виртуальными серверами VMmanager 6 и получили доступ к данным клиентов российского хостинг-провайдера FirstVDS. Под угрозой могли оказаться пароли, ключи доступа, конфигурационные файлы, базы данных и криптовалютные кошельки.
VMmanager 6 разработана российской компанией ISPsystem. Платформа позволяет провайдерам создавать виртуальные машины и управлять ими на физических серверах. Поэтому уязвимость в такой системе затрагивает не отдельный сайт, а инфраструктуру, на которой размещаются ресурсы клиентов.
По данным FirstVDS, злоумышленники получили доступ к части инфраструктуры компании 17 октября. Они использовали вредоносную программу, которая подключала диски клиентских виртуальных серверов в режиме чтения и копировала файлы на подконтрольный им сервер. Такой способ позволял извлекать данные, не изменяя содержимое дисков.
Среди потенциально скомпрометированной информации провайдер перечислил пароли, SSH-ключи, токены облачных платформ, доступы к GitHub и GitLab, конфигурации приложений и баз данных, а также сведения о криптовалютных кошельках. При этом точное количество пострадавших серверов и клиентов компания не раскрыла.
Особенность атаки в том, что виртуальные серверы продолжали работать, а внутри них могло не остаться следов взлома. Поэтому отсутствие сбоев не гарантирует сохранность данных.
Инцидент затронул не только FirstVDS. Хостинг-провайдер ForestsNet Cloud сообщил, что злоумышленники атаковали панели управления VMmanager 6 у нескольких компаний. По данным провайдера, в некоторых случаях были затронуты базы данных панели и узлы, на которых размещались клиентские виртуальные машины.
ISPsystem выпустила обновления безопасности 18 октября. Однако FirstVDS сообщила клиентам, что на момент ее уведомления проблема еще не была полностью устранена, и ограничила внешний доступ к уязвимой панели. ForestsNet Cloud заявила об установке исправления и восстановлении доступа к системе после проверки.
Пострадавшим клиентам FirstVDS рекомендовали исходить из того, что данные на затронутых серверах могли быть скопированы. В такой ситуации необходимо сменить пароли, отозвать старые ключи и токены доступа, проверить резервные копии и изучить журналы событий. Подтвержденный масштаб инцидента и последствия для других пользователей VMmanager 6 еще предстоит установить.
Читайте также: АКИТ предложила разрешить маркетплейсам временно хранить данные за рубежом